js如何解析JSON字符串 JSON解析的3种安全处理方式-js教程-PHP中文网

js如何解析JSON字符串 JSON解析的3种安全处理方式

裘德小鎮的故事

发布： 2025-06-24 21:29:01

原创

259人浏览过

js如何解析json字符串 json解析的3种安全处理方式

JSON解析，说白了，就是把一堆看起来像乱码的字符串，变成JavaScript能懂的对象或数组。但这里面藏着不少坑，一不小心就掉进去了。

直接告诉你答案：JSON.parse() 是主力军，但用的时候得小心。另外，还有一些奇技淫巧可以防身。

JSON.parse() 的威力与陷阱

JSON.parse() 是 JavaScript 内置的方法，专门用来解析 JSON 字符串。用起来很简单：

const jsonString = '{"name":"张三", "age": 30}';
const obj = JSON.parse(jsonString);
console.log(obj.name); // 输出：张三

登录后复制

看起来很美好，对吧？但如果 jsonString 不是一个合法的 JSON 字符串，就会报错。比如：

const jsonString = "{name:'张三', age: 30}"; // 注意：name和age的key没有用双引号包裹
try {
  const obj = JSON.parse(jsonString);
  console.log(obj.name);
} catch (error) {
  console.error("JSON 解析出错:", error);
}

登录后复制

所以，在使用 JSON.parse() 之前，最好能确保你的 JSON 字符串是有效的。怎么确保？后面会讲到。

如何校验JSON字符串的有效性？

确保 JSON 字符串有效，就像给代码加一层保险。万一 JSON 字符串是从外部来的（比如 API 接口），那这层保险就更重要了。

方法一：try...catch + JSON.parse()

这是最简单粗暴的方法。直接用 JSON.parse() 解析，如果报错，就说明 JSON 字符串有问题。

function isValidJSON(jsonString) {
  try {
    JSON.parse(jsonString);
    return true;
  } catch (e) {
    return false;
  }
}

const validJson = '{"name":"张三", "age": 30}';
const invalidJson = "{name:'张三', age: 30}";

console.log(isValidJSON(validJson));   // true
console.log(isValidJSON(invalidJson));  // false

登录后复制

方法二：使用第三方库

有一些专门用来校验 JSON 格式的库，比如 ajv (Another JSON Validator)。用这些库可以做更细致的校验，比如检查 JSON 是否符合特定的 Schema。

// 需要先安装 ajv: npm install ajv
const Ajv = require('ajv');
const ajv = new Ajv();

const schema = {
  type: "object",
  properties: {
    name: {type: "string"},
    age: {type: "integer"}
  },
  required: ["name", "age"]
};

const validate = ajv.compile(schema);

const validData = {name: "张三", age: 30};
const invalidData = {name: "张三", age: "三十"};

console.log(validate(validData));   // true
console.log(validate(invalidData));  // false (因为 age 应该是 integer)

登录后复制

ajv 这种库的好处是，你可以定义 JSON 的结构和类型，然后用它来检查 JSON 数据是否符合你的要求。这在处理复杂的 JSON 数据时非常有用。

JSON注入攻击如何防范？

JSON 注入攻击，听起来很吓人，其实就是利用 JSON 解析的漏洞，往你的程序里注入恶意代码。

永远不要相信来自客户端的数据

这是最重要的一条原则。所有来自客户端的数据，都应该被视为不可信的。在使用 JSON.parse() 解析之前，一定要对数据进行严格的校验和过滤。

使用安全的 JSON 解析器

虽然 JSON.parse() 本身没有明显的漏洞，但一些老的 JavaScript 引擎可能存在安全问题。所以，尽量使用最新版本的 JavaScript 引擎，或者使用一些经过安全审计的第三方 JSON 解析库。

对 JSON 数据进行转义

如果 JSON 数据中包含特殊字符（比如、&），应该对这些字符进行转义，防止它们被解析成 HTML 标签或 JavaScript 代码。

function escapeJSON(jsonString) {
  return jsonString.replace(/</g, '<')
                   .replace(/>/g, '>')
                   .replace(/&/g, '&')
                   .replace(/"/g, '"')
                   .replace(/'/g, ''');
}

const maliciousJson = '{"name": "<script>alert(\'XSS\')</script>"}';
const escapedJson = escapeJSON(maliciousJson);
console.log(escapedJson); // 输出：{"name": "<script>alert('XSS')</script>"}

登录后复制