用于处理responseText的eval和window.json.parse之间的区别？

Question

我手边有以下代码

var finalCompleteData = eval("("+"jsonresponse.responseText +")");

当我使用它时,我在Fortify中收到一个安全漏洞错误,说它可能导致Javascript Hacking.所以,我把它改成了

var finalCompleteData = window.json.parse(jsonresponse.responseText);

为此,Fortify没有显示错误.window.json.parse方法有什么作用？

你能解释一下吗？提前致谢 :-)

Answer 1

eval将执行它应该评估的任何JavaScript代码,并以最高级别的安全性进行评估.这意味着如果您的响应文本返回非json代码,但是有效的javascript,eval则会执行它.天空是这个的极限,它可以添加新功能,更改变量,重定向页面.

与window.json.parse只JSON进行评估,这样的流氓代码越来越进入风险要小得多.