Ich verstehe, dass die Verwendung von eval(json_str) auf dem Client ist anfällig für bösartigen Code. Meine Frage ist, ob json_str war ein Array, das von der PHP-Funktion erstellt wurde json_encodewäre ich sicher?

Zum Beispiel,

json_str = json_encode(array(record1, 
                             record2, 
                             record3));

wäre es jetzt völlig sicher zu verwenden eval(json_str) im clientseitigen Code?

In Bezug auf reines JavaScript sind Sie sicher: die Ausgabe von json_encode kann niemals etwas anderes als statische Werte enthalten, die bei der Übergabe keine unerwarteten Nebeneffekte haben eval. (Obwohl Sie Ihre JSON-Zeichenfolge normalerweise mit umgeben müssen () beim Benutzen evalum zu vermeiden, dass ein Objektliteralausdruck fälschlicherweise als Anweisungsblock interpretiert wird.)

Abgesehen davon: Dies gilt nicht unbedingt für alle JSON-Encoder, da es einige Zeichen gibt, die roh in eine JSON-Zeichenfolge aufgenommen werden können, die in JavaScript nicht roh gültig sind. Am bemerkenswertesten sind U+2028 und U+2029, die in JavaScript-String-Literalen nicht unescaped bleiben können, da sie Zeilenumbrüche darstellen. Der Encoder von PHP codiert jedoch alle Nicht-ASCII-Zeichen (z "\u2028") also kein Problem hier.

In Bezug auf JavaScript, das in eine andere Sprache eingebettet ist (typischerweise: HTML), sind Sie nicht unbedingt sicher. Zum Beispiel:

<script type="text/javascript">
    var v= <?php echo json_encode($value); ?>;
</script>

In diesem Beispiel was wäre wenn value enthält einen String mit der Zeichenfolge </script? Dadurch würde der Wert den Skriptblock vorzeitig beenden und so in das HTML-Markup entkommen, wo er dann andere schädliche Skripte einschleusen könnte.

Um dieses Problem zu vermeiden, codieren Sie beim Einfügen von JSON-Inhalten in HTML immer die < Zeichen in Zeichenfolgenliteralen, wie \x3C oder, in JSON-konformen Begriffen, \u003C. Aus Gründen der Kompatibilität mit XHTML-Nicht-CDATA-Skriptblöcken tun & auch. Setzen Sie für die Kompatibilität mit JS-innerhalb von Event-Handler-Attributen auch Anführungszeichen.

PHP wird dies mit den richtigen Optionen für Sie tun json_encode():

var v= <?php echo json_encode($value, JSON_HEX_QUOT|JSON_HEX_TAG|JSON_HEX_AMP|JSON_HEX_APOS); ?>;

(Möglicherweise möchten Sie eine Verknüpfungsfunktion definieren, um das Schreiben zu beschleunigen.)

Wenn Sie verwenden möchten Inhaltssicherheitsrichtlinie (CSP), werden Sie daran gehindert, Inline-Skript-Tags auszuführen. Dies würde daher die ansonsten erstaunliche Antwort von Bobince unmöglich machen, da CSP erfordert, dass sich das gesamte JavaScript in separaten Dateien befindet.

So erhalten Sie Ihr JavaScript in einer separaten Datei:

Eine Möglichkeit, dies zu umgehen, besteht darin, den JSON mit PHP zu codieren (was XSS verhindern sollte) und ihn dann an ein verstecktes Element zurückzugeben und dann JavaScript zu verwenden, um den Inhalt dieses Tags abzurufen (angepasst von OWASP):

Setzen Sie dies inline (beachten Sie, dass es nicht wirklich ausgeführt wird):

<script id="jsonString" type="application/json">
<?php
// OWASP uses a <script> tag with an invalid "type" attribute, but 
// you can just as easily use a <span style="display:none"> or other
// hidden tag.
//
// Note, this probably won't actually be valid JSON because we are using 
// htmlspecialcharacters() on the JSON data. That doesn't matter because
// this is never actually executed by the browser due to the incorrect
// script type. We will decode it later into valid JSON.
echo htmlspecialchars(json_encode($object), ENT_NOQUOTES); 
?>
</script>

Dann in Ihrer JavaScript-Datei:

var dataElement = document.getElementById('jsonString');
// Get innerText, which also has the side effect of html decoding
// the string returned, which is just what we want
var jsonString = dataElement.textContent || dataElement.innerText;
// Now you can parse the JSON string
var jsonObj = JSON.parse(jsonString);

Verwenden Sie eval nicht für das JSON-Parsing

Tu es nicht.

Es ist sehr wahrscheinlich, dass Ihr Server niemals kompromittiert wird und dass Ihre Anwendung größtenteils sicher ist, bla bla bla, das ist nicht der Punkt. Es ist möglich, dass ein Server teilweise kompromittiert wird (zu viele Angriffsvektoren, was wäre, wenn die php json_encode Funktion wurde auf Ihrem Server kompromittiert?).

Die einfache Lösung ist, nicht zu vertrauen irgendetwas gesendet von jeder. Moderne Browser haben native JSON-Parser und www.json.org bietet eine lange Liste von JSON-Parsern für verschiedene Sprachen. Die JS-Versionen greifen aus Geschwindigkeitsgründen auf die native Implementierung zurück.

Was das alles bedeutet, ist, dass es gibt kein triftiger grund benutzen eval für JSON-Parsing.

Ja und nein:

Ja: PHP erzeugt gültiges JSON

Nein: PHP kann genauso gut bösartigen Code zurückgeben wie in JSON.

Wenn Sie der Quelle vertrauen können oder sogar die volle Kontrolle darüber haben (weil sie Ihnen gehört), gibt es kein Problem.

Es sollte sicher sein, aber auf dem Client wird Ihnen nicht garantiert, dass dies der Fall ist json_str wurde nicht von einer anderen Quelle injiziert.