哪个更安全,为什么是JSON或XML

Question

我想在Java EE中实现Web服务,其响应将是一个JSON.这是我第一次尝试这样做但在此之前我只是想知道JSON是否存在任何安全问题,因为在我阅读的许多博客中都提到了类似"JSON与XML相比不安全".JSON具有易用,速度快等优点.

所以任何人都可以向我解释JSON是否真的不安全.如果是这样的话.请举例说明.

关于这个主题有几篇旧文章:

Answer 1

这是无稽之谈.这两种,json而xml只是针对结构化数据的表示方法.它们都不能被视为"更安全"或"安全性更低".

@nikhil,问题在于Javascript,而不是json或xml. (3认同)
xml 不仅仅是一种数据表示形式，它还可以包含可在攻击向量中使用的处理指令。请参阅[Billion Laughs](http://en.wikipedia.org/wiki/Billion_laughs) 攻击和[外部实体扩展](https://www.owasp.org/index.php/XML_External_Entity_(XXE)_Processing)。即使流行的框架也存在[XML解析安全问题](http://www.gopivotal.com/security/cve-2013-4152) (3认同)

Answer 2

JSON和XML之间没有明显的安全性.人们提到的关于JSON的"不安全感"与JSON可以(但绝不应该)在Javascript中解析的方式有关.

JSON基于javascript中编码对象的语法,因此在javascript中评估JSON结果会返回一个有效的对象.

这可能会打开JSON到各种JavaScript注入攻击.

解决此问题的方法:不要使用eval()来解析javascript中的JSON,使用JSON解析器并修复服务器中允许在响应中使用未转义的用户生成内容的任何安全问题.