JSON.parse与eval（）

我的Spider Sense警告我，使用eval()解析传入的JSON是一个坏主意。我只是想知道JSON.parse()-我假设它是JavaScript的一部分而不是浏览器特定的功能-是否更安全。

如果使用，您将更容易受到攻击eval：JSON是Javascript的子集，而json.parse仅解析JSON，而eval这却为所有JS表达式敞开了大门。

所有JSON.parse实现最有可能使用eval()

JSON.parse基于Douglas Crockford的解决方案，该解决方案eval()在497行使用。

// In the third stage we use the eval function to compile the text into a
// JavaScript structure. The '{' operator is subject to a syntactic ambiguity
// in JavaScript: it can begin a block or an object literal. We wrap the text
// in parens to eliminate the ambiguity.

j = eval('(' + text + ')');

的优点JSON.parse是它可以验证参数是否为正确的JSON语法。

并非所有浏览器都具有本机JSON支持，因此有时您需要使用eval() JSON字符串。使用http://json.org中的 JSON解析器，因为它可以为您轻松处理所有事情。

Eval() 是邪恶的，但是对某些浏览器来说却是必然的邪恶，但是在可以避免的地方，请这样做！！！！

JSON.parse（）和eval（）接受的内容有所不同。尝试评估：

var x =“ {\” shoppingCartName \“：\” shopping_cart：2000 \“}”

eval(x)         //won't work
JSON.parse(x)   //does work

请参阅此示例。

如果您使用解析JSON eval，则将允许解析的字符串包含绝对的任何内容，因此，您可以发现自己正在执行函数调用或其他操作，而不仅仅是一组数据。

此外，JSON的parse接受一个aditional的参数，齐磊，让您指定如何（更多信息和示例在线文档处理某些价值观，如日期时间在这里）

JSON只是JavaScript的一个子集。但是会eval评估完整的JavaScript语言，而不只是JSON子集。