facebook-graph-api - 为什么 Facebook 的 JSONP 回调以 "/**/"开头

Question

当我使用 Facebook 的 Open Graph API 时，我注意到 Facebook 生成的 JSONP 响应似乎在每个响应的开头都有一个无关紧要的“/**/”，如下所示:

URL: 
https://graph.facebook.com/SOME_ID?method=get&pretty=0&sdk=joey&callback=FB.__globalCallbacks.f1c77f051c

Response:
/**/ FB.__globalCallbacks.f887adeec(...);

为什么是这样？

Answer 1

我们添加了它以防止第三方站点通过执行以下操作绕过响应的内容类型的攻击:

谷歌做了类似的事情，除了他们使用//... +\n (例如 http://www.google.com/calendar/feeds/developer-calendar@google.com/public/full?alt=json&callback=foo )