Json 字符串的 Javascript eval() 注入(inject)全局作用域函数

Question

我有一个完全正确的 Json 字符串，它通过使用 eval 函数在函数的方法内进行解析。但是，完成后，由于某种未知原因，全局定义方法的第一行将作为数组的参数之一注入(inject)内部。

正在解析的字符串是:

{"id":1,"name":"object1","volume":15,"weight":100}

解析行是:

var 解码 = eval('(' + 编码 + ')');

使用 eval() 函数进行解码后，我就得到了内部解码的“互补”属性['replaceNode']，其中包含另一个文件中包含的全局作用域函数。

我认为这是一个错误，但由于同样的情况在 Firefox 和 Safari 中都会发生，所以这似乎不太可能。更可能的是我误解了 eval 的目的。

感谢您提前提供的帮助。

Answer 1

不要使用评估。

Eval 不安全，可以使攻击者执行任意代码。使用 JSON library相反。