ikepyonのだめ人間日記

セキュリティに関することを書いていく予定。

JSONとセキュリティ

JSONって、受け取ったデータをeval関数の引数として使うのね。これって、データとコードの区別がつけられないから、非常に危険だと思うんですが・・・
受け取ったデータにコードらしきものが含まれていたら、意図しないコードが実行されて非常に危険なんだけどなぁ。
まあ、その為にjson.jsJSON parserがあるようだけど、これを使ってる人ってどの程度いるんかなぁ?
http://allabout.co.jp/internet/javascript/closeup/CU20050515A/
http://jsgt.org/ajax/ref/test/json/test1.htm
とかそういったことについて、全く記述してないのが怖いんですが・・・
JSON使うときは、ここを参照すべきですな。
http://www.json.org/