javascript - 在 URL 中编码 JSON 时是否存在 XSS 威胁？

Question

为了拥有一个 URL 友好的应用程序，我正在存储它的上下文在 URL 中有一个 JSON，它给出类似的东西:

http://mysite.dev/myapppage/target#?context={%22attr1%22%3A{%22target_id-0%22%3A{%22value%22%3A%223%22%2C%22label%22%3A%22Hello%22}}}

编码基本上下文:

{
"attr1":
    {
    "target_id-0":
        {
        "value": "3",
        "label": "Hello"
        }
    }
}

我正在序列化我的对象:

JSON.stringify(context)

我正在反序列化它:

var hashParamsElements = window.location.toString().split('?');
hashParamsElements.shift(); // we just skip the first part of the url
var hashParams = $.deparam(hashParamsElements.join('?'));
var contextString = hashParams.context;
var context = JSON.parse(contextString);

上下文仅存储用于读取变量，其中没有计算代码。有人可以告诉我它是否 XSS 安全吗？

如果有威胁:我该如何避免？

Answer 1

这种威胁来自使用不同的解码 JSON 的方法，即 eval 和 new Function。它们直接执行 JS 代码，因此通过将代码放入 url(并链接到它)来允许非持久性 XSS 攻击。

JSON.parse 没有这个问题，可以安全抵御此类攻击。

See also (json.org).