Это тоже моя точка зрения. Так как большинство атак, которые могли бы изменить ответ ajax, могли бы просто изменить страницу хоста в первую очередь (непосредственно вставляя в нее свой собственный JS), защита ответа ajax не приносит вам больших затрат. Установка двойного замка на одну дверь, когда все другие двери имеют только одинарные замки, не дает вам дополнительной защиты, особенно когда окна не очень безопасны.
ял, что JSON.parse () не позволяет злоумышленнику внедрить javascript в ответ, поскольку анализатор JSON - это просто анализатор текста, а не анализатор сценариев, поэтому, пожалуйста, не закрывайте это дублирование всех других вопросов, которые говорят об этом , Это другой вопрос.
Если злоумышленник может перехватить ваш Ajax-вызов и вставить javascript в Ajax-вызов, разве он не может с такой же вероятностью взломать вашу реальную веб-страницу и вставить произвольный javascript на вашу страницу, с которой он может выполнить точно такую же атаку?
Конечно, вам нечего терять, используя JSON.parse () вместо eval () (если у вас еще нет JSON-анализатора в вашей среде и вам не нужно добавлять больше кода для его получения), но в каких ситуациях это действительно так? повысить безопасность, если ваша веб-страница обслуживается тем же хостом, что и ваш вызов ajax?