javascript - JSON 是否存在注入(inject)漏洞？

Question

这不是关于 eval()

假设我有#password 输入，我将此数据作为 JSON 对象的一部分发送

var toSend = {
    text: 'hello',
    pass: $("#password").val()
};

我需要验证输入吗？", you: "are hacked" 会在通信的另一端被解释为单个字符串或空字符串和另一个属性吗？

编辑:在浏览器环境中不会发生任何事情，但如果 JSON 将作为纯文本通过互联网发送并再次解析？

Answer 1

如果您按照您描述的方式进行操作，则不会发生任何事情，因为 json 正在被转义(如果您使用的是解析器(JS 对象 -> JSON))

Nothing would happen in browser environment, but if JSON would be sent over internet as plain text and parsed again?

如果您正在将字符串版本 (JSON) 解析为 JS 对象，则所有值都是未转义的，因此之后您必须转义它们。