草庐IT

php - Json:PHP 到 JavaScript 安全与否？

coder 2024-01-01 原文

我了解在客户端使用 eval(json_str) 容易受到恶意代码的攻击。我的问题是，如果 json_str 是由 PHP 函数 json_encode 构造的数组，我会安全吗？

例如，

json_str = json_encode(array(record1, 
                             record2, 
                             record3));

现在在客户端代码中使用 eval(json_str) 是否完全安全？

最佳答案

就纯 JavaScript 而言，是的，你是安全的:json_encode 的输出只能包含静态值，当传递给 eval 时不会产生意想不到的副作用。 . (尽管在使用 () 时，您通常必须用 eval 将 JSON 字符串括起来，以避免将对象文字表达式误解为语句 block 。)

旁白:这不一定适用于所有 JSON 编码器，因为有些字符可以有效地包含在 JSON 字符串中，但在 JavaScript 中是无效的。最值得注意的是，U+2028 和 U+2029 不能在 JavaScript 字符串文字中进行转义，因为它们构成换行符。然而，PHP 的编码器对所有非 ASCII 字符(例如 "\u2028")进行编码，因此这里没有问题。

就嵌入另一种语言(通常是 HTML)的 JavaScript 而言，您不一定安全。例如:

<script type="text/javascript">
    var v= <?php echo json_encode($value); ?>;
</script>

在这个例子中，如果 value 会怎样？包含带有字符序列 </script 的字符串？这将允许该值提前结束脚本 block ，从而逃逸到 HTML 标记中，然后它可以在其中注入(inject)其他恶意脚本。

为避免此问题，在 HTML 中包含 JSON 内容时，请始终对 < 进行编码字符串文字中的字符，如 \x3C或者，在符合 JSON 的术语中，\u003C .为了与 XHTML 非 CDATA 脚本 block 兼容，执行 &以及。为了与事件处理程序属性中的 JS 兼容，也请使用引号。

PHP 将通过正确的选项为您完成此操作 json_encode() :

var v= <?php echo json_encode($value, JSON_HEX_QUOT|JSON_HEX_TAG|JSON_HEX_AMP|JSON_HEX_APOS); ?>;

(你可能想定义一个快捷函数来加快编写速度。)

关于php - Json:PHP 到 JavaScript 安全与否？，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/6816787/

与否JavaScriptcodesectionjson_encodephpjsonsecurity

有关php - Json:PHP 到 JavaScript 安全与否？的更多相关文章

  1. ruby - 如何使用 Ruby aws/s3 Gem 生成安全 URL 以从 s3 下载文件 - 2

    我正在编写一个小脚本来定位aws存储桶中的特定文件，并创建一个临时验证的url以发送给同事。(理想情况下，这将创建类似于在控制台上右键单击存储桶中的文件并复制链接地址的结果)。我研究过回形针，它似乎不符合这个标准，但我可能只是不知道它的全部功能。我尝试了以下方法:defauthenticated_url(file_name,bucket)AWS::S3::S3Object.url_for(file_name,bucket,:secure=>true,:expires=>20*60)end产生这种类型的结果:...-1.amazonaws.com/file_path/file.zip.A

  2. ruby-on-rails - Rails HTML 请求渲染 JSON - 2

    在我的Controller中，我通过以下方式在我的index方法中支持HTML和JSON:respond_todo|format|format.htmlformat.json{renderjson:@user}end在浏览器中拉起它时，它会自然地以HTML呈现。但是，当我对/user资源进行内容类型为application/json的curl调用时(因为它是索引方法)，我仍然将HTML作为响应。如何获取JSON作为响应？我还需要说明什么？ 最佳答案 您应该将.json附加到请求的url，提供的格式在routes.rb的路径中定义。这

  3. ruby - 如何安全地删除文件？ - 2

    在Ruby中是否有Gem或安全删除文件的方法？我想避免系统上可能不存在的外部程序。“安全删除”指的是覆盖文件内容。 最佳答案 如果您使用的是*nix，一个很好的方法是使用exec/open3/open4调用shred:`shred-fxuz#{filename}`http://www.gnu.org/s/coreutils/manual/html_node/shred-invocation.html检查这个类似的帖子:Writingafileshredderinpythonorruby?

  4. ruby-on-rails - 如何使用 Rack 接收 JSON 对象 - 2

    我有一个非常简单的RubyRack服务器，例如:app=Proc.newdo|env|req=Rack::Request.new(env).paramspreq.inspect[200,{'Content-Type'=>'text/plain'},['Somebody']]endRack::Handler::Thin.run(app,:Port=>4001,:threaded=>true)每当我使用JSON对象向服务器发送POSTHTTP请求时:{"session":{"accountId":String,"callId":String,"from":Object,"headers":

  5. ruby - 用 YAML.load 解析 json 安全吗？ - 2

    我正在使用ruby2.1.0我有一个json文件。例如:test.json{"item":[{"apple":1},{"banana":2}]}用YAML.load加载这个文件安全吗？YAML.load(File.read('test.json'))我正在尝试加载一个json或yaml格式的文件。 最佳答案 YAML可以加载JSONYAML.load('{"something":"test","other":4}')=>{"something"=>"test","other"=>4}JSON将无法加载YAML。JSON.load("

  6. ruby-on-rails - 使用 javascript 更改数据方法不会更改 ajax 调用用户的什么方法？ - 2

    我遇到了一个非常奇怪的问题，我很难解决。在我看来，我有一个与data-remote="true"和data-method="delete"的链接。当我单击该链接时，我可以看到对我的Rails服务器的DELETE请求。返回的JS代码会更改此链接的属性，其中包括href和data-method。再次单击此链接后，我的服务器收到了对新href的请求，但使用的是旧的data-method，即使我已将其从DELETE到POST(它仍然发送一个DELETE请求)。但是，如果我刷新页面，HTML与"new"HTML相同(随返回的JS发生变化)，但它实际上发送了正确的请求类型。这就是这个问题令我困惑的

  7. ruby-on-rails - 安全地显示使用回形针 gem 上传的图像 - 2

    默认情况下:回形针gem将所有附件存储在公共(public)目录中。出于安全原因，我不想将附件存储在公共(public)目录中，所以我将它们保存在应用程序根目录的uploads目录中:classPost我没有指定url选项，因为我不希望每个图像附件都有一个url。如果指定了url:那么拥有该url的任何人都可以访问该图像。这是不安全的。在user#show页面中:我想实际显示图像。如果我使用所有回形针默认设置，那么我可以这样做，因为图像将在公共(public)目录中并且图像将具有一个url:Someimage:看来，如果我将图像附件保存在公共(public)目录之外并且不指定url(同

  8. ruby-on-rails - Rails 渲染带有驼峰命名法的 json 对象 - 2

    我在一个简单的RailsAPI中有以下Controller代码:classApi::V1::AccountsControllerehead:not_foundendendend问题在于，生成的json具有以下格式:{id:2,name:'Simpleaccount',cash_flows:[{id:1,amount:34.3,description:'simpledescription'},{id:2,amount:1.12,description:'otherdescription'}]}我需要我生成的json是camelCase('cashFlows'而不是'cash_flows'

  9. ruby - 使用 JSON gem 将自定义对象转换为 JSON - 2

    我正在学习如何使用JSONgem解析和生成JSON。我可以轻松地创建数据哈希并将其生成为JSON；但是，在获取一个类的实例(例如Person实例)并将其所有实例变量放入哈希中以转换为JSON时，我脑袋放屁。这是我遇到问题的例子:require"json"classPersondefinitialize(name,age,address)@name=name@age=age@address=addressenddefto_jsonendendp=Person.new('JohnDoe',46,"123ElmStreet")p.to_json我想创建一个.to_json方法，这样我就可以获

  10. ruby-on-rails - 如何使用驼峰键名称从 Rails 返回 JSON - 2

    我正在构建一个带有Rails后端的JS应用程序，为了不混淆snake和camelcases，我想通过从服务器返回camelcase键名来规范化这一切。因此，当从API返回时，user.last_name将返回user.lastName。我如何实现这一点？谢谢!编辑:添加Controller代码classApi::V1::UsersController 最佳答案 我的方法是使用ActiveModelSerializer和json_api适配器:在你的Gemfile中，添加:gem'active_model_serializers'创建

随机推荐