jQuery JSONP 安全性

Question

我试图说服一个团队，使用 jQuery JSONP 调用与不受信任的第三方可能是不安全的。我正在使用标准 jQuery 代码:

$.ajax({
    url:unsecureserver+"?json_callback=?",
    dataType:'jsonp'
    success:function(data) {
        // doing processing here
    }
});

我需要一些帮助来了解返回哪些类型的不安全数据可能会导致问题；例如显示警报消息。例如JSON 语句如下:

 { "success": true } alert('hi');

有什么建议我应该用什么来替换上面的内容，以便它可以与 jQuery 一起使用？

Answer 1

JSON 包含一个使用 script 标记的 javascript 文件，响应应包含一个以 json_callback 参数命名的函数。这意味着任何代码都可以运行。通过以下调用:

$.ajax({
    url:unsecureserver+"?json_callback=callback",
    dataType:'jsonp'
    success:function(data) {
        // doing processing here
    }
});

可能包含不安全代码的响应:

document.write('evil content');
alert('hi');
callback({ "success": true });