JSON.parse so với eval ()

Spider Sense của tôi cảnh báo tôi rằng việc sử dụng eval()để phân tích cú pháp JSON đến là một ý tưởng tồi. Tôi chỉ tự hỏi liệu JSON.parse()- cái mà tôi cho là một phần của JavaScript chứ không phải một chức năng dành riêng cho trình duyệt - có an toàn hơn không.

Bạn dễ bị tấn công hơn nếu sử dụng eval: JSON là một tập hợp con của Javascript và json.parse chỉ phân tích cú pháp JSON trong khi evalsẽ mở cửa cho tất cả các biểu thức JS.

Tất cả các JSON.parsetriển khai có nhiều khả năng sử dụngeval()

JSON.parsedựa trên giải pháp của Douglas Crockford , được sử dụng eval()ngay tại dòng 497 .

// In the third stage we use the eval function to compile the text into a
// JavaScript structure. The '{' operator is subject to a syntactic ambiguity
// in JavaScript: it can begin a block or an object literal. We wrap the text
// in parens to eliminate the ambiguity.

j = eval('(' + text + ')');

Ưu điểm của JSON.parsenó là nó xác minh đối số là cú pháp JSON chính xác.

Không phải tất cả các trình duyệt đều hỗ trợ JSON gốc, vì vậy sẽ có lúc bạn cần sử dụng eval() đến chuỗi JSON. Sử dụng trình phân tích cú pháp JSON từ http://json.org để xử lý mọi thứ dễ dàng hơn cho bạn.

Eval() là một cái ác nhưng đối với một số trình duyệt, nó là một cái ác cần thiết nhưng bạn có thể tránh nó ở đâu, hãy làm như vậy !!!!!

Có sự khác biệt giữa những gì JSON.parse () và eval () sẽ chấp nhận. Hãy thử đánh giá về điều này:

var x = "{\" shoppingCartName \ ": \" shopping_cart: 2000 \ "}"

eval(x)         //won't work
JSON.parse(x)   //does work

Hãy xem ví dụ này .

Nếu bạn phân tích cú pháp JSON eval, bạn đang cho phép chuỗi được phân tích cú pháp chứa hoàn toàn bất kỳ thứ gì, vì vậy thay vì chỉ là một tập dữ liệu, bạn có thể thấy mình đang thực hiện các lệnh gọi hàm hoặc bất cứ điều gì.

Ngoài ra, JSON's parsechấp nhận một tham số bổ sung, trình phục hồi, cho phép bạn chỉ định cách xử lý các giá trị nhất định, chẳng hạn như lịch ngày (thêm thông tin và ví dụ trong tài liệu nội tuyến tại đây )

JSON chỉ là một tập con của JavaScript. Nhưng evalđánh giá ngôn ngữ JavaScript đầy đủ chứ không chỉ tập hợp con đó là JSON.