《JSON必知必会》进修笔记（一）

2024年4月13日 188次阅读 来源: 间阳幕宾

什么是JSON

JSON全称是Javascript Object Notation（对象示意法），是一种在差别平台间通报数据的文本花样（数据交换花样）。罕见的数据交换花样有XML、JSON两种，我们主要研讨JSON。

数据交换花样非常主要，开发人员须要运用它们来完成差别体系之间的数据交换。

JSON基于Javascript对象字面量，然则自力于任何编程言语，真正主要的是示意法自身，所以在进修JSON之前不必先进修Javascript。固然，有Javascript基本那是再好不过了。

JSON语法

JSON中运用键值对的数据结构，示例以下：

{
    "name": "dawei",
    "age":22,
    "isMan":true
}

称号一直须要加上双引号，多个键值对运用逗号离隔。

以下两种示意体式格局都是毛病的：

{ name: "dawei" }

这是Javascript对象而不是JSON

{ 'name': 'dawei' }

这也是Javascript对象，因为在Javascript对象中许可运用单引号替代双引号。

JSON数据交换花样能够作为自力的文件存在于文件体系中，文件扩大名为.json。在通报数据的时刻须要提早示知吸收方吸收的数据是什么范例。这时刻就会涉及到媒体范例，也叫做内容范例或许MIME范例。罕见的MIME范例是text/html，JSON的MIME范例是application/json。

JSON数据范例

JSON中的数据范例包括：对象、字符串、数字、布尔值、null和数组。

对象范例

JSON中的对象范例非常简朴，JSON自身就是对象，也就是被一对花括号{}包裹的键值对的列表。对象能够嵌套运用。

对象能够包括多个键值对。
键必需是字符串，值能够是正当的 JSON 数据范例（字符串, 数字, 对象, 数组, 布尔值或 null）。

{
    "person":{
        "name":"dawei",
        "age":23,
        "isBoy":true
    }
}

字符串范例

在JSON中字符串必需而且只能运用双引号包裹起来。在JSON中，键都是字符串范例。在Javascript中，运用单引号和双引号没有任何区分。然则JSON不是Javascript对象字面量，它只是基于Javascript对象字面量。

关于JSON剖析器来讲，当一个值以双引号开始时，它愿望接下来的字符串文本以另一个双引号末端。这意味着假如这段字符串自身包括双引号可能会报错。这时刻我们须要运用反斜杠对字符串中的双引号举行转义。

{
    "promo":"He say \"Bob`s the best!\" at classroom"
}

数字范例

JSON中的数字范例能够是整数、小数、负数或许是指数。

布尔范例

JSON中的布尔值仅可运用小写情势：true或false，其他任何写法都邑报错。

null范例

在JSON中，运用null示意一贫如洗、不存在等意义。

关于下面这个例子，因为对象不戴腕表，所以他不存在腕表色彩：

{
    "freckleCount":0,
    "fairy":true,
    "watchColor":null
}

数组范例

数组一直应当被方括号[]包裹。数组中的值运用逗号离隔。

这些值能够是任何正当的JSON数据范例。所以能够有字符串组成的数组、数字组成的数组、布尔值组成的数组、对象组成的数组以至是数组组成的数组。

在数组中也可包括差别数据范例的值：

{
    "eggCarton":["egg",null,"egg",5,"egg"]
}

这在JSON中也是正当的，然则我们应当防止如许运用。因为假如我们将包括差别数据范例的数组的JSON通报给一个不运用Javascript的体系，那末在剖析的时刻极可能会报错。

JSON 形式（Schema）

JSON中的数据经由过程互联网或其他收集传输到吸收方，吸收方会对它要吸收的数据有一个预期。吸收方会供应一个文档来诠释预期的花样而且供应示例。另外，JSON形式亦能够被吸收方用于传输方的另一端。JSON形式每每位于要吸收数据的第一行，以保证数据符合要求。

我们统称上述做法为“一致性考证”，在这里要考证三个方面的内容：

  • 值的范例是不是准确——能够具体划定一个值是数字、字符串等范例

  • 是不是包括所须要的数据——能够划定哪些数据是必需的，哪些是不须要的

  • 值的情势是不是是我们须要的——能够指定局限、最小值和最大值

JSON Schema运用JSON来誊写，一个完全的JSON Schema花样的文件以下所示：

{
    "$schema":"http://json-schema.org/draft-04/schema#",
    "title":"Cat",
    "properties":{
        "name":{
            "type":"string",
            "minLength":3,
            "maxLength":20
        },
        "age":{
            "type":"number",
            "description":"You cat's age in years.",
            "minimum":0
        },
        "declawed":{
            "type":"boolean"
        },
        "description":{
             "type":"string"
        }
    },
    "required":[
        "name",
        "age",
        "declawed"
    ]
}

在这个文件中，第一个键值对声清楚明了一个schema文件，第二个键值对是该文件的题目，第三个键值对是须要包括在JSON中的属性，第四个键值对指定必需包括的属性。在属性值中，又说清楚明了属性范例、对属性的形貌和值的局限。

JSON中的安全题目

JSON自身不存在任何安全题目，然则在web中运用JSON时却常涌现两个安全题目：跨站要求捏造和跨站剧本进击。

跨站要求捏造

跨站要求捏造（CSRF）是一种应用站点对用户浏览器的信托而提议进击的体式格局。

这个信托实在就是用户的登录凭据，黑客为了获得用户的凭据，会在用户登录站点的状况下向用户发送大批的捏造“音讯提示”，目标就是为了让用户点击它，接见它带有风险剧本的网站。一旦用户点击这一音讯提示、接见该歹意网站，黑客便可猎取用户的敏感信息（登录凭据）完成进击：

<script src="https://www.yourspecialbank.com/user.json"></script>

平常安全意识较差的网站运用以下如许的JSON URL寄存敏感信息：

[
    {
        "username":"dawei"
    },
    {
        "phone":"555-555-555"
    }
]

这里的JSON花样是正当的，然则它非常风险，因为它也是可实行的JS剧本，黑客能够随意马虎的将其保存到本身站点的剧本中。

怎样阻挠CSRF进击？

起首，应当将数组作为一个值存入JSON对象，如许数组将不再是正当的JavaScript，剧本也就没法加载它。

{
    "info":[
        {
            "username":"dawei"
        },
        {
            "phone":"555-555-555"
        }
    ]
}

其次，站点应当只许可post要求，静止运用get要求。如许黑客就没法运用剧本中的URL了。

注入进击

注入进击都是应用体系自身的破绽向网站注入歹意代码来举行进击的。

跨站剧本进击

跨站剧本进击（XSS）是注入进击的一种。在运用JSON时罕见的安全破绽一般发生在Javascript从服务器猎取到一段JSON字符串并将其转化成JavaScript对象的时刻。

在JavaScript中，能够运用eval()函数来举行这一操纵：

var jsonString = '{"animal":"cat"}';
var myObject = eval("("+ jsonString +")");
alert(myObject.animal);

这彷佛没什么题目，然则假如服务器或许服务器发来的JSON被进击，携带了歹意代码，如许的话状况将会很蹩脚：

var jsonString = "alert('this is bad code')";
var myObject = eval("("+ jsonString +")");
alert(myObject.animal);

eval()的题目在于它会将传入的字符串无差别的编译实行，如许的话就会给黑客以可乘之机，极可能会给我们带来不可预计的丧失。

为了处理这一题目，引入了JSON.parse()要领，这一函数仅剖析JSON，不会实行剧本：

var jsonString = '{"animal":"cat"}';
var myObject = JSON.parse("("+ jsonString +")");
alert(myObject.animal);

未完待续…

    原文作者：间阳幕宾
    原文地址: https://segmentfault.com/a/1190000010407527
    本文转自网络文章，转载此文章仅为分享知识，如有侵权，请联系博主进行删除。
点赞