RoRでActiveRecord :: Serialization.from_json（）を使用してアップロードしたJSONを解析すると、セキュリティ上の抜け穴が発生しますか？

Question

Ruby on Railsでエクスポートインポート機能を実装する予定です。 JSONにはJavaScriptが含まれているので、RubyにJSONをハッシュに変換するように頼んだら、実行できる悪意のあるコードを誰かが挿入できるかどうかは疑問です。

Answer 1

いいえ、JSONにはjavascriptコード*を含めることはできません。それはJavascriptのオブジェクトリテラルsynthaxのより厳格なバージョンです。

http://json.org/

* - 実際には、javascriptのコードは、文字列でJSONに含めることができるが、それは解析されません。