JSON.parse contre eval ()

My Spider Sense m'avertit que l'utilisation eval()pour analyser le JSON entrant est une mauvaise idée. Je me demande simplement si JSON.parse()- ce qui, je suppose, fait partie de JavaScript et non d'une fonction spécifique au navigateur - est plus sécurisé.

Vous êtes plus vulnérable aux attaques si vous utilisez eval: JSON est un sous-ensemble de Javascript et json.parse analyse simplement JSON alors que evalcela laisserait la porte ouverte à toutes les expressions JS.

Toutes les JSON.parseimplémentations utilisent probablementeval()

JSON.parseest basé sur la solution de Douglas Crockford , qui utilise eval()directement la ligne 497 .

// In the third stage we use the eval function to compile the text into a
// JavaScript structure. The '{' operator is subject to a syntactic ambiguity
// in JavaScript: it can begin a block or an object literal. We wrap the text
// in parens to eliminate the ambiguity.

j = eval('(' + text + ')');

L'avantage de JSON.parseest qu'il vérifie que l'argument est la syntaxe JSON correcte.

Tous les navigateurs n'ont pas de support JSON natif, il y aura donc des moments où vous devrez utiliser eval() la chaîne JSON. Utilisez l'analyseur JSON de http://json.org car cela gère tout beaucoup plus facilement pour vous.

Eval() c'est un mal mais contre certains navigateurs c'est un mal nécessaire mais là où vous pouvez l'éviter, faites-le !!!!!

Il y a une différence entre ce que JSON.parse () et eval () accepteront. Essayez eval sur ceci:

var x = "{\" shoppingCartName \ ": \" shopping_cart: 2000 \ "}"

eval(x)         //won't work
JSON.parse(x)   //does work

Voyez cet exemple .

Si vous analysez le JSON avec eval, vous autorisez la chaîne en cours d'analyse à contenir absolument n'importe quoi, donc au lieu d'être simplement un ensemble de données, vous pourriez vous retrouver à exécuter des appels de fonction, ou autre.

De plus, JSON parseaccepte un paramètre supplémentaire, reviver, qui vous permet de spécifier comment traiter certaines valeurs, telles que les dates-heures (plus d'informations et d'exemples dans la documentation en ligne ici )

JSON n'est qu'un sous-ensemble de JavaScript. Mais evalévalue le langage JavaScript complet et pas seulement le sous-ensemble qui est JSON.