AngularJS JSON漏洞保护未剥离

Question

我有一个与 Api 通信的 Angular 应用程序，我在其中添加 JSON 响应前缀，该响应仅由 )]}', 的数组组成，正如 angular's official documentation 建议的那样。

问题是，我的浏览器似乎试图在 angular 之前解码响应。

我在调试器中一步一步走，在xhr.onload回调被触发后，响应已经null。

我说的代码是这个：

// From angular.js(1.5.9):12122
xhr.onload = function requestLoaded() {
        var statusText = xhr.statusText || '';

        // responseText is the old-school way of retrieving response (supported by IE9)
        // response/responseType properties were introduced in XHR Level2 spec (supported by IE10)
        var response = ('response' in xhr) ? xhr.response : xhr.responseText;

        // normalize IE9 bug (http://bugs.jquery.com/ticket/1450)
        var status = xhr.status === 1223 ? 204 : xhr.status;

        // fix status code when it is 0 (0 status is undocumented).
        // Occurs when accessing file resources or on Android 4.1 stock browser
        // while retrieving files from application cache.
        if (status === 0) {
          status = response ? 200 : urlResolve(url).protocol === 'file' ? 404 : 0;
        }

        completeRequest(callback,
            status,
            response,
            xhr.getAllResponseHeaders(),
            statusText);
      };
}

xhr.response 在 Angular 做任何事情之前为空（我认为）。

Angular 尝试使用此代码去除前缀：

function defaultHttpResponseTransform(data, headers) {
  if (isString(data)) {
    // Strip json vulnerability protection prefix and trim whitespace
    var tempData = data.replace(JSON_PROTECTION_PREFIX, '').trim();

    if (tempData) {
      var contentType = headers('Content-Type');
      if ((contentType && (contentType.indexOf(APPLICATION_JSON) === 0)) || isJsonLike(tempData)) {
        data = fromJson(tempData);
      }
    }
  }

  return data;
}

但此时数据绝不是字符串，浏览器已经尝试对其进行解码（但失败了）。

Api 的输出如下所示：

)]}',
[{"name": "A"},{"name": "B"}]

如果我删除前缀，它可以正常工作。我试过了： - 歌剧 45.0 - 火狐 46 - 铬 58

它们的行为都相似，所以我可能遗漏了一些东西。

响应头包含以下内容：

HTTP/1.1 200 OK
Server: nginx/1.11.5
Content-Type: application/json; charset=utf-8
Connection: keep-alive
Cache-Control: no-cache, private
[...]
Content-Length: 1793

有什么想法吗？

非常感谢。

Answer 1

正如 Jeff Sheets 在this answer 中所指出的，您的请求配置对象可能包含responseType: 'json'。这可能会导致对象被浏览器的底层 XMLHttpRequest 实现丢弃，该实现在将其传递回应用程序之前指定此属性。

删除responseType 属性，或将其设置为文本应该可以解决问题。

responseType 记录在 MDN 上，其中声明

如果在 Worker 环境中完成，将忽略将 responseType 的值设置为“document”。将 responseType 设置为特定值时，作者应确保服务器实际上正在发送与该格式兼容的响应。 如果服务器返回的数据与设置的responseType不兼容，则response的值为null。另外，为同步请求设置responseType会抛出InvalidAccessError异常。

（强调我的）