是否有可能在現代瀏覽器上執行「JSON劫持」？

Question

最近我看了一些關於'JSON劫持'的文章，其中一些是here。

所以，我試着在我的瀏覽器，Chrome 17（dev），Firefox 8和IE8上做下面的事情。

• 覆蓋對象或數組構造
• 修改__defineSetter__方法
• 修改defineProperty方法

但我不能做（字面）JSON數據什麼。

'JSON劫持'問題在現代瀏覽器上都解決了嗎？ 或者我該如何重現它？

Answer 1

這不是關於解析json的合法應用程序 - json劫持是一個信息泄露問題，有關某些惡意方請求您的json數據而不是真正的應用程序，而用戶通常會登錄到使用api的應用程序。簡單身份驗證無助於 - 因爲瀏覽器發送身份驗證信息，例如auth-cookie免費： - /。

但是對於ES5，大多數當前的瀏覽器不會再受此問題直接影響。儘管如此，深入的防守規則！而我對未來問題的保護或迴歸等。

Answer 2

如果您使用eval來解碼JSON，那麼理論上可能會有這樣的東西被濫用。

當瀏覽器內置JSON支持時，提供JSON解碼功能的流行JS庫默認爲JSON.parse，因此，除非您的代碼寫入不正確，否則任何最近的瀏覽器都不應受到攻擊。