SecureJSON 是怎么防止JSON劫持的，没看懂
个人理解是通过在返回的json字符串前面机上自定义的前缀，起到一个验证的作用
AJAX请求获取JSON可以获得秘密JSON的全部信息。
而处于其它域名的恶意网站因为同源策略（Same origin policy）的原因是不能伪造AJAX请求的。
恶意网站只能用含<script>tag的URL访问你的cookies、通过overriding the global array constructor or accessor methods 在一个对象属性被设置的时候，用一个方法读取你的秘密JSON的内容。
因为<scritpt>tag insertion盲目地运行 JavaScript 并且不进行任何处理。所以while(1);会导致死循环。除了加while(1);也可以加上在前面&&&BLAH&&&导致syntax error。
参考自stackoverflow
stackoverflow.com/questions/266969....
请登录
关于 LearnKu
粤公网安备 44030502004330号
推荐文章：