json - 如何在服务器端使用 JSON Sanitizer？

Question

我想实现 OWASP 提到的“JSON Sanitizer”验证。
我的理解是，这需要在两个地方完成:

从客户端或其他系统接收的 JSON 数据(在请求中) - 在处理之前需要在服务器端进行清理

要发送到客户端的 JSON 数据(在响应中) - 在发送到客户端之前需要在服务器端进行清理

我只在 JSON 中调用一个 sanitizer 方法就足够了吗？
清理该 JSON 数据上的库？

这是否会执行所有 sanitizer 或在这方面是否有任何其他验证要做？

Answer 1

OWASP JSON Sanitizer将类似 JSON 的输入转换为语法有效且可嵌入的 JSON。
它通常用于获取由服务器上的 ad-hoc 方法生成的“JSON”，例如

"{ \"output\": " + stringOfJson + " }"

并确保它在语法上有效，以便它可以传递给 JSON.parse在客户端上，并且是可嵌入的，以便它可以嵌入到更大的 HTML 或 XML 响应中，例如

<script>var jsonUsedByScriptsOnPage = {$myJson};</script>

如果您的客户端可能发送狡猾的 JSON，您绝对可以在您的服务器上使用它。
请注意，您的服务器仍然需要将 JSON 视为不受信任，就像它在未使用有效凭据到达的响应中收到的任何其他字符串一样。
https://github.com/OWASP/json-sanitizer#security解释

sanitizing JSON cannot protect an application from Confused Deputy attacks

var myValue = JSON.parse(sanitizedJsonString);
addToAdminstratorsGroup(myValue.propertyFromUntrustedSource);