json字符串 xss处理

JSON（JavaScript Object Notation） 是一种轻量级的数据交换格式。 在 web 应用程序中使用 JSON 数据格式非常常见。 但是 JSON 在传输过程中容易遭受 XSS（跨站脚本攻击）的攻击。

{
    "name": "John Smith","email": "[email protected]","address": {
        "city": "New York","zip": ""
    }
}

在上面的 JSON 字符串中，"zip" 字段中包含一个脚本，如果在 web 页面中渲染此 JSON 数据时，脚本将被自动执行，并可能执行一些恶意操作，如盗取用户的 cookie，发起 DNS 查询，修改页面结构等。

为了避免 XSS 攻击，我们应该对 JSON 数据进行特殊处理，以过滤所有可能存在的恶意脚本。 在处理 JSON 数据之前，应该先对所有的输入进行过滤，包括数据源、用户输入等，以确保安全性。

function escapeJSONString (str) {
    return str.replace(/[&"']/g,function (tag) {
        var charsToReplace = {
            '&': '&','': '>','\"': '"','\'': ''','/': '/'
        };
        return charsToReplace[tag] || tag;
    });
}

var json = {
    "name": "John Smith","zip": ""
    }
};

JSON.stringify(json,function (key,value) {
    return (typeof value === 'string') ? escapeJSONString(value) : value;
});

在上面的示例中，我们编写了一个 escapeJSONString 函数，用于对所有需要处理的字符进行转义。在使用 JSON.stringify 方法时，我们可以传递一个 replacer 函数，该函数可在序列化对象时迭代对象的每一个键值，并通过返回值来转换键值。在上面的 replacer 函数中，我们首先检查传递的值是否是字符串类型，如果是，则调用 escapeJSONString 函数进行转义，并返回转义后的结果。如果不是字符串类型，就返回原始值。

这样，我们就可以确保在渲染 JSON 数据时，所有可能存在的恶意脚本都已被转义成安全字符，大大降低了数据被攻击的风险。