json - 如何在 play2 中为所有 JSON 响应添加前缀以防止通过易受攻击的请求进行 JSONP 升级

Question

我想在我的所有 JSON 响应前加上一系列引号，例如 ")]}',\n"，以防止 JSONP 升级漏洞。

如何在 play2 框架中完成？我已将我的 bodyparsers 设置为 JSON 并手动为所有响应添加前缀，但我正在寻找一种更优雅的方式来通过 native 框架功能来完成这项工作。

Answer 1

“JSONP 升级漏洞”是什么意思？ (googling for it 将这个问题作为第一个结果返回，几乎没有任何其他结果)。

您想阻止人们将您的 JSON 用作 JSONP 吗？那么就不要包括 JSONP padding .

你想阻止人们在没有同源策略问题的其他程序中使用你的 JSON，在浏览器之外，还是用他们自己的服务器代理它来服务于他们自己域中的客户端等？那是不可能的。即使你提供了一些残缺的 JSON，他们无论如何都会弄清楚。你唯一能做的就是写下禁止这样做的条款和条件并起诉他们(祝你好运)。