0

Данные с сервера приходят в виде json массива объектов.

Через чего лучше его превратить в массив объектов, через JSON.parse или eval ?

В чем их отличие?

JSON.parse стандартный метод? есть в спецификации?

Если кто знает статейку, скиньте, буду благодарен!

4
  • но ведь [гугл][1] не отменяли? [1]: stackoverflow.com/questions/4935632/…
    – thunder
    17 мар 2014 в 16:15
  • @S9ZAAAA, ну наконец-то вы успокоились. Или я что-то пропустил?)
    – Helisia
    17 мар 2014 в 16:54
  • 1
    @SuperCreeper этот вопрос - одна из причин.
    – etki
    17 мар 2014 в 17:25

2 ответа 2

12

Никогда не выполняйте eval над строкой, которую вы не контролируете. В этой строке может содержаться что угодно, не обязательно данные.

Eval is evil.

4
  • 1
    @VladD, я бы не был столь категоричен. Выделил бы "которую вы не контролируете". Представьте, Вы делаете распределенную программу. Иногда довольно естественно передать из одной ее части в другую свежесгенеренный код с данными, который исполняется в текущем окружении именно другой части. Т.е. eval. Ну, или более приземленно, просто вспомните .bashrc и т.п. Конечно, совсем уж забывать о безопасности не нужно.
    – avp
    17 мар 2014 в 19:39
  • 2
    @avp: Как мне кажется, такой подход не вполне хорош. Если вы не можете быть уверенным, что код не отошлёт пароль пользователя злоумышленнику, не сотрёт записи из базы данных, не совершит банковскую транзакцию от имени пользователя — стоит не доверять коду. Точно так же, как вы не запускаете на своём компьютере через sudo первый попавшийся пример из интернета.
    – VladD
    18 мар 2014 в 0:21
  • @VladD, вот sl из этих примеров мне действительно понравился!!! -- А если быть последовательным противником eval, то надо вообще отказаться от js на всех страницах (он ведь через eval и запускается в браузере).
    – avp
    18 мар 2014 в 8:32
  • @avp: Хм. Смотрите, как я думаю про это. Когда я сообщаю пароль сайту, я доверяю ему. Если сайт выполняет чужой код, он доверяет этому коду, то есть, его источнику — а значит, и я, не зная об этом, доверяю свои пароли этому источнику. Честно ли со стороны сайта злоупотреблять моим доверием? Зависит от того, действительно ли сайт доверяет источнику, или просто из-за лени программистов, применивших eval там, где без него можно было бы обойтись.
    – VladD
    18 мар 2014 в 10:25
3

Как уже сказали, если можно обойтись без eval, значит нужно обойтись. Если же никак не обойтись, то лучше тогда так:

var data = (new Function('return '+JSONData))()

Таким образом вредоносный код, переданный вместо JSON по крайней мере не будет иметь доступ к глобальным переменным.

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.