JSON.parse vs. eval()

Question

Spider Sense của tôi cảnh báo rằng việc sử dụng eval() để phân tích cú pháp JSON đến là một ý tưởng tồi. Tôi chỉ tự hỏi nếu JSON.parse() - mà tôi giả định là một phần của JavaScript và không phải là một chức năng cụ thể của trình duyệt - là an toàn hơn.

Answer 1

Bạn đang dễ bị tổn thương hơn đối với tấn công nếu sử dụng eval: JSON là một tập con của Javascript và json.parse chỉ phân tích JSON trong khi eval sẽ để cửa mở cho tất cả các biểu thức JS.

Answer 2

JSON chỉ là một tập con của JavaScript. Nhưng eval đánh giá toàn bộ ngôn ngữ JavaScript chứ không chỉ là tập hợp con của JSON.

Answer 3

Nếu bạn phân tích cú pháp JSON bằng eval, bạn cho phép chuỗi được phân tích cú pháp để chứa hoàn toàn bất kỳ thứ gì, vì vậy thay vì chỉ là một tập hợp dữ liệu, bạn có thể tự mình thực hiện các cuộc gọi hàm hoặc bất kỳ điều gì.

Ngoài ra, JSON của parse chấp nhận một tham số aditional, người làm phấn khởi, cho phép bạn chỉ định làm thế nào để đối phó với giá trị nhất định, chẳng hạn như datetimes (thêm thông tin và ví dụ trong tài liệu inline here)

Answer 4

Không phải tất cả các trình duyệt đều có hỗ trợ JSON gốc do đó sẽ có những lúc bạn cần sử dụng eval() cho chuỗi JSON. Sử dụng trình phân tích cú pháp JSON từ http://json.org để xử lý mọi thứ dễ dàng hơn cho bạn.

Eval() là một điều ác nhưng đối với một số trình duyệt, đó là điều ác cần thiết nhưng bạn có thể tránh điều đó, hãy làm như vậy !!!!!

Answer 5

Tất cả JSON.parse triển khai rất có thể sử dụng eval()

JSON.parse được dựa trên Douglas Crockford's solution, trong đó sử dụng eval() ngay trên line 497.

// In the third stage we use the eval function to compile the text into a 
// JavaScript structure. The '{' operator is subject to a syntactic ambiguity 
// in JavaScript: it can begin a block or an object literal. We wrap the text 
// in parens to eliminate the ambiguity. 

j = eval('(' + text + ')'); 

Lợi thế của JSON.parse là nó xác minh đối số là cú pháp JSON chính xác.

Answer 6

Có sự khác biệt giữa JSON.parse() và eval() sẽ chấp nhận. Hãy thử eval về điều này:

var x = "{\" shoppingCartName \ ": \" shopping_cart: 2000 \ "}"

eval(x)   //won't work 
JSON.parse(x) //does work 

Xem example này.