JSON.parse ve eval ()

Örümcek Duyumum, eval()gelen JSON'u ayrıştırmak için kullanmanın kötü bir fikir olduğu konusunda beni uyarıyor . Sadece merak ediyorum JSON.parse()- JavaScript'in bir parçası olduğunu ve tarayıcıya özgü bir işlev olmadığını varsayıyorum - daha güvenli.

Şunları kullanıyorsanız saldırılara karşı daha savunmasızeval olursunuz: JSON, Javascript'in bir alt kümesidir ve json.parse, JSON'u ayrıştırırken evalkapıyı tüm JS ifadelerine açık bırakır.

JSON.parseBüyük olasılıkla tüm uygulamalareval()

JSON.parsedayalı olan Douglas Crockford çözümüyle kullanır, eval()üzerinde yazıyor hattı 497 .

// In the third stage we use the eval function to compile the text into a
// JavaScript structure. The '{' operator is subject to a syntactic ambiguity
// in JavaScript: it can begin a block or an object literal. We wrap the text
// in parens to eliminate the ambiguity.

j = eval('(' + text + ')');

Bunun avantajı JSON.parse, bağımsız değişkenin doğru JSON sözdizimi olduğunu doğrulamasıdır.

Tüm tarayıcılarda yerel JSON desteği bulunmadığından eval() , JSON dizesini kullanmanız gereken zamanlar olacaktır . Http: //json.org'daki JSON ayrıştırıcısını kullanın, çünkü bu sizin için her şeyi çok daha kolay halleder.

Eval() bir kötülük ama bazı tarayıcılara karşı gerekli bir kötülük ama ondan kaçınabileceğiniz yerde bunu yapın !!!!!

JSON.parse () ve eval () öğelerinin kabul edeceği arasında bir fark vardır. Bunun üzerinde değerlendirmeyi deneyin:

var x = "{\" shoppingCartName \ ": \" shopping_cart: 2000 \ "}"

eval(x)         //won't work
JSON.parse(x)   //does work

Bu örneğe bakın .

JSON'u ile ayrıştırırsanız, ayrıştırılan evaldizenin kesinlikle herhangi bir şey içermesine izin verirsiniz, bu nedenle yalnızca bir veri kümesi olmak yerine, kendinizi işlev çağrılarını veya her neyse yürütürken bulabilirsiniz.

Ayrıca JSON parse, veri zamanları gibi belirli değerlerle nasıl başa çıkılacağını belirlemenize izin veren ek bir parametre olan reviver'ı da kabul eder (daha fazla bilgi ve burada satır içi belgelerde örnek )

JSON, JavaScript'in yalnızca bir alt kümesidir. Ancak eval, yalnızca JSON olan alt kümeyi değil, tam JavaScript dilini değerlendirir.