JSON

Všimněte si, že tento příklad XMLHttpRequest nepodporuje Internet Explorer do verze 6 včetně, takže pro ně musí být použit mírně odlišný kód. Možnosti použití XMLHttpRequest jsou omezené kvůli stejné politice původu: URL odpověď na požadavek musí být ve stejné doméně DNS jako server hostující stránku požadující odpověď. Alternativně se používá přístup JSONP , který zahrnuje použití kódovaného volání funkce předávaného mezi klientem a serverem, takže klient může načíst data kódovaná JSON z domén třetích stran a upozornit volajícího na dokončení, i když to přináší určité zabezpečení. rizika a další požadavky na server.

Alternativně můžete použít prvky v kódu stránky <iframe>k vyžádání dat JSON asynchronně, nebo jednoduše <form action="url_to_cgi_script">. Tyto přístupy byly převládající před širokou podporou XMLHttpRequest.

K předávání dat JSON můžete také použít dynamické značky <script>. Tato metoda může obejít stejnou politiku původu, ale zavádí zranitelný kód. JSONRequest byl navržen jako bezpečnější alternativa .

Bezpečnostní problémy

Ačkoli je JSON určen k serializaci, jeho syntaxe je podobná JavaScriptu, což vytváří řadu bezpečnostních problémů. Často je funkce aplikována na data přijatá z externího zdroje ve formátu JSON eval()bez jakéhokoli předběžného ověření.

JavaScript eval()

Vzhledem k tomu, že JSON je reprezentován jako syntakticky správný kus kódu JavaScript, nejjednodušším způsobem, jak analyzovat data JSON v programu JavaScript, je použít vestavěnou funkci JavaScript eval(), která je navržena ke spouštění výrazů JavaScript. S tímto přístupem není potřeba používat další analyzátory.

Technika použití eval()činí systém zranitelným, pokud zdroj použitých dat JSON není důvěryhodný . Taková data mohou být škodlivým kódem JavaScript pro útoky Injection Pomocí této zranitelnosti je možné provádět krádeže dat, padělání autentizace.

Byla navržena nová funkce, JSON.parse()která dokáže zpracovávat pouze data JSON. Byl představen ve čtvrté verzi standardu ECMAScript a popsán v článku „JSON: A fat-free alternative to XML“ [12] . V současnosti je k dispozici jako JavaScriptová knihovna [13] a byla zahrnuta do pátého vydání ECMAScriptu.

Vložený JSON

Nejnovější verze webových prohlížečů mají vestavěnou podporu pro JSON a jsou schopny ji zpracovat.

Padělání požadavku napříč doménami

Nedomyšlené použití JSON činí weby zranitelnými vůči padělání požadavků mezi weby (CSRF nebo XSRF) [14] . Protože značka <script>umožňuje použití zdroje, který nepatří do stejné domény jako zdroj, který používá, umožňuje to spouštění kódu pod rouškou dat JSON v kontextu libovolné stránky, což umožňuje kompromitovat hesla nebo další citlivé informace uživatelů, kteří jsou autorizováni na jiném webu.

Zdá se, že to je problém pouze v případě, že data JSON obsahují citlivé informace, které mohou být kompromitovány třetí stranou, a pokud server spoléhá na jednoho původu, blokuje přístup k datům, když narazí na externí požadavek To není problém, pokud server určí platnost požadavku a poskytne data pouze v případě, že jsou správné. K určení toho nelze použít soubor cookie HTTP . Výhradní použití souboru cookie HTTP je zneužíváno paděláním požadavků mezi stránkami .

JSONP a JSONPP

JSONP ( JSON Padding )   je rozšířením JSON, když je jako vstupní argument určen název funkce zpětného volání.

Technologie je založena na skutečnosti, že bezpečnostní politika prohlížeče nezakazuje použití tagu <script type="text/javascript" src="…"></script>pro přístup k jiným serverům, než je server, ze kterého byla stránka načtena.

Bez použití technologie JSONP (to znamená pouze s použitím kódování dat JSON) může server vracet pouze data. Například takto: