javascript - Facebook graph api JSONP格式，第一行的/* */是什么意思？

Question

我注意到 facebook graph api 返回的 JSONP 输出中有一个空注释 block 所有方法。

我调用的 URL:

https://graph.facebook.com/NUMERIC_FACEBOOK_ID/friends?access_token=ACCESS_TOKEN_STRING&callback=theGreatFunction

JSONP 输出是:

/**/ theGreatFunction({
   "data": [
      {
         "name": "First Friend",
         "id": "XXXX"
      },
      {
         "name": "Second Friend",
         "id": "XXXXXX"
      },
     ........

我的问题是:回调函数前的空注释 block /* */ 表示什么？它有一个特殊的目的吗？它是否修复了任何已知的 javascript 问题？

Answer 1

我们添加这个是为了防止第三方站点通过以下方式绕过响应的内容类型的攻击:

<object type="application/x-shockwave-flash"
 data="http://graph.facebook.com?callback=[specifically crafted flash bytes]">
</object>

Google 做了类似的事情，除了他们使用//... +\n(例如 http://www.google.com/calendar/feeds/developer-calendar@google.com/public/full?alt=json&callback=foo )