javascript - JSON 解析和安全

Question

我们的基础架构在后端使用 Python，在“前端”使用 Javascript(这是我们为其他网站提供的库)。基础设施的不同组件之间的通信是通过 JSON 消息完成的。

在 Python 中，json.load() 和 json.dump() 是处理 JSON 字符串的安全方式。在 Javascript 中，将使用 JSON.parse() 代替。但是，这些函数只能保证字符串具有正确的 JSON 格式，对吗？

如果我担心注入(inject)攻击，我需要通过其他方式清理 JSON 的每个字段。我的这个假设对吗？还是仅通过使用前面提到的功能我们就安全了？

Answer 1

如果输入字符串不是有效的 JSON 格式，

JSON.parse 将抛出异常。使用起来很安全，我想不出任何方法只用 JSON.parse 来攻击你的代码。它不像 eval 那样工作。

当然，您可以检查生成的 json 对象以确保它具有您期望的结构。