如何在 JSON 中安全地使用用户提供的文本？

Question

我有一个 Node 应用程序，它需要接受用户输入（用户名和密码）并向另一个 API 发出请求，其中包含这两件事。我有一个应该这样做的功能：

getTokenFromLogin = function(user, pass) {    
    var promise = new Promise(function(resolve, reject) {
        var options = this.options;
        options.url = endpoints.login;
        options.method = 'POST';
        options.form = {
            'username': user,
            'password': pass
        };
        request(options, function (err, httpResponse, body) {
            if (err) return reject(err);
            resolve(body);
        });
    });
    return promise;
};

但是，理论上，攻击者不能只输入一个 JSON 格式的字符串来操纵我的请求对象吗？如果是这种情况，我如何确保这些字符串是安全的？我已经看到了两种方法，JSON.parse() 和 JSON.stringify()，但我没有发现任何东西可以说明我应该使用什么以及这些方法如何阻止这种漏洞。

Answer 1

答案是您的代码已经“安全”。字符串就是字符串（当然，假设您检查的是typeofuser 和pass），字符串本身不能神奇地与对象交互。

现在，如果您发送请求的服务器设计/编码不佳，并且在插入数据库时​​没有正确清理其输入（user 和pass），那么情况就完全不同了。但是对于提出请求，这里没有安全问题。