注册
登录
恶意代码防范
为什么Google会优先使用while（1）他们的JSON响应？
返回
为什么Google会优先使用while（1）他们的JSON响应？
作者:
春风助手
发布时间:
2024-05-13 07:39:29 (2月前)
<p>为什么Google会优先while(1);使用其（私有）JSON响应？</p><p>例如，这是在Google日历中打开和关闭日历时的响应：</p><p>while (1);<br/>[<br/> [‘u’, [<br/> [‘smsSentFlag’, ‘false’],<br/> [‘hideInvitations’, ‘false’],<br/> [‘remindOnRespondedEventsOnly’, ‘true’],<br/> [‘hideInvitations_remindOnRespondedEventsOnly’, ‘false_true’],<br/> [‘Calendar ID stripped for privacy’, ‘false’],<br/> [‘smsVerifiedFlag’, ‘true’]<br/> ]]<br/>]<br/>我认为这是为了防止人们eval()对此进行操作，但是您真正要做的就是替换while，然后进行设置。我认为评估是为了确保人们编写安全的JSON解析代码。</p><p>我已经看到了这几个其他地方，太习惯，但很多更使谷歌（邮件，日历，联系人等），奇怪的是，谷歌文档开头&&&START&&&，而是和谷歌联系人似乎开始while(1); &&&START&&&。</p><p>这里发生了什么？</p>
收藏
举报
2 条回复
1#
回复此人
只怕再见是故人
|
2020-08-04 15-12
它可以防止JSON劫持，这是自2011年以来使用ECMAScript 5 在所有主要浏览器中正式修复的主要JSON安全问题。 人为的例子：假设Google有一个类似的URL mail.google.com/json?action=inbox，它以JSON格式返回收件箱中的前50条消息。由于同源政策，其他域上的邪恶网站无法发出AJAX请求来获取此数据，但它们可以通过<script>标签来包含URL 。随您的 cookie 一起访问URL ，并且通过覆盖全局数组构造函数或访问器方法，只要设置了对象（数组或哈希）属性，它们就可以拥有一个被调用的方法，从而允许它们读取JSON内容。 的while(1);或&&&BLAH&&&防止这样的：在一个AJAX请求mail.google.com将具有完全访问的文本内容，并且可以去除它扔掉。但是，<script>插入标签会盲目地执行JavaScript，而不进行任何处理，从而导致无限循环或语法错误。 这不能解决跨站点请求伪造的问题。
编辑
登录
后才能参与评论
