围绕 JSON 响应的注释块

【问题标题】：Comment blocks around JSON responses围绕 JSON 响应的注释块
【发布时间】：2009-06-19 16:03:19
【问题描述】：

我注意到一些 Web 应用程序返回的 AJAX 响应带有嵌入在注释块中的 JSON 数据。例如，这将是一个示例响应：

/*{
 "firstName": "John",
 "lastName": "Smith",
 "address": {
     "streetAddress": "21 2nd Street",
     "city": "New York",
     "state": "NY",
     "postalCode": 10021
 },
 "phoneNumbers": [
     "212 555-1234",
     "646 555-4567"
 ]} */

将 JSON 数据嵌入评论块有什么好处？这样做是否可以避免某种安全漏洞？

【问题讨论】：

标签： security json

【解决方案1】：

这样做是为了避免第三方网站使用 <script> 标记劫持您的数据，并覆盖 Object 构造函数以在构建数据时获取数据。

当 JSON 数据被 cmets 包围时，它不再可以通过<script> 标签直接执行，因此“更安全”。

请参阅http://www.fortifysoftware.com/servlet/downloads/public/JavaScript_Hijacking.pdf 的 PDF 了解更多信息（附示例）

【讨论】：

链接好像坏了。您能否提供其他参考资料？