JSONデータをJavaScript経由でページに挿入する前に、これを行う必要がありますか？

Question

ローカルサーバーからJSONデータを取得していて、データをHTMLでページに出力する前に、そのデータをどの機能で実行する必要があるのか​​不思議でした。すべてが安全であることを保証し、引用符のような特殊文字が適切に処理されるようにします。

ありがとうございます！

Answer 1

正規のJSONを使用していて、実際のJSONパーサーでeval（）を使用していない場合、JSONは安全です。実行可能コードを含むことはできず、データ定義のみを含むことができます。

あなたのクライアントコードでは、解析されたJSONを取得して、データに十分な健全性チェックを実行して、それが意味をなさないことを確認し、実行したい特定のテストに合格することはできますが、実際のJSONパーサーと実際のJSONパーサーを使用している場合、コードインジェクションについて心配する必要はありません。これがJSONを使用する利点の1つです。これはデータのみの形式です。

サーバーをハイジャックして偽のデータを返すことが心配な場合は、httpsを使用してエンドポイントを保護し、クライアントで明確な正常性チェックを実行できます。