JSON.parse vs. eval()

Question

My Spider Sense는 들어오는 JSON을 구문 분석 할 때 eval()을 사용하는 것이 좋지 않다는 경고를받습니다. 그냥 JSON.parse() - 브라우저의 특정 기능이 아닌 JavaScript의 일부라고 생각하면 더 안전합니다.

Answer 1

당신은 더 취약 등 (인라인 문서 here에 대한 추가 정보를 원하시면 예) 날짜 시간 등의 특정 값을 처리하는 방법을 지정할 수 있도록하는이 추가적으로 매개 변수, 자극성을 받아 공격을 사용하는 경우 eval : JSON은 Javascript의 하위 집합이며 json.parse는 JSON을 구문 분석하지만 eval은 모든 JS 표현식에 대해 문을 열어 둡니다.

Answer 2

JSON은 자바 스크립트의 일부입니다. 그러나 eval은 JSON 인 서브셋이 아닌 전체 자바 스크립트 언어를 평가합니다.

Answer 3

eval으로 JSON을 구문 분석하면 구문 분석중인 문자열에 절대적으로 아무 것도 포함 할 수 없으므로 데이터 집합이 아니라 함수 호출 등을 수행 할 수 있습니다. 또한

, JSON의 parse 당신이

Answer 4

모든 브라우저가 기본 JSON을 지원하지는 않으므로 eval()을 JSON 문자열에 사용해야하는 경우가 있습니다. http://json.org의 JSON 파서를 사용하면 모든 것을 훨씬 쉽게 처리 할 수 ​​있습니다.

Eval()은 악이지만 일부 브라우저는 악의를 품지 만 피할 수있는 곳은 없으므로 !!!!!

Answer 5

모든 JSON.parse 구현은 대부분 eval()

JSON.parse이 line 497에 바로 eval()를 사용 Douglas Crockford's solution, 기반으로 사용합니다.

// In the third stage we use the eval function to compile the text into a 
// JavaScript structure. The '{' operator is subject to a syntactic ambiguity 
// in JavaScript: it can begin a block or an object literal. We wrap the text 
// in parens to eliminate the ambiguity. 

j = eval('(' + text + ')'); 

JSON.parse의 장점은 인수가 올바른 JSON 구문 인 것을 확인한다.

Answer 6

JSON.parse()와 eval()이 수용하는 것의 차이가 있습니다. "{shoppingCartName \"\ "shopping_cart : 2000 \

VAR X =을 \": "}"이에 대한 평가 시도

eval(x)   //won't work 
JSON.parse(x) //does work 

이 example를 참조하십시오.