JSON.parseとeval（）

Question

My Spider Senseは、着信JSONの解析にeval()を使用すると悪いことを警告します。私はちょうどJSON.parse() - 私はJavaScriptの一部であり、ブラウザ固有の機能ではない - より安全だと思います。

Answer 1

あなたはより脆弱であるように（インラインドキュメントhereで詳細および例）日付時刻などの特定の値に対処する方法を指定できますaditionalパラメータ、リバイバーを受け付けますを使用している場合、攻撃：JSONはJavaScriptのサブセットで、json.parseはJSONを解析しますが、evalはすべてのJS式を開いたままにします。

Answer 2

JSONはJavaScriptの一部です。しかし、evalはJSONのサブセットだけでなく、完全なJavaScript言語を評価します。

Answer 3

JSONをevalで解析すると、解析される文字列に絶対に何かが含まれるようになります。そのため、データセットではなく、関数呼び出しなどを実行することができます。また

、JSONの parseあなたは

Answer 4

すべてのブラウザでネイティブJSONがサポートされているわけではないため、JSON文字列にeval()を使用する必要がある場合があります。 http://json.orgのJSONパーサを使用すると、すべての処理が簡単になります。

​​は悪ですが、一部のブラウザに対しては必要な悪いことがありますが、避けることができる場所はありません!!!!!

Answer 5

すべてJSON.parse実装最も可能性の高い使用eval()

JSON.parseはline 497上で右そこeval()を使用する、Douglas Crockford's solutionに基づいています。

// In the third stage we use the eval function to compile the text into a 
// JavaScript structure. The '{' operator is subject to a syntactic ambiguity 
// in JavaScript: it can begin a block or an object literal. We wrap the text 
// in parens to eliminate the ambiguity. 

j = eval('(' + text + ')'); 

JSON.parseの利点は、引数が正しいJSONの構文で確認することです。

Answer 6

JSON.parse（）とeval（）が受け入れるものには違いがあります。この上evalを試してみてください：

VARのx = "{\" shoppingCartName \ "：\" shopping_cart：2000 \ "}"

eval(x)   //won't work 
JSON.parse(x) //does work 

このexampleを参照してください。