Rails, почему '.to_json' является выделяющимся HTML сущность

Question

Это то, что происходит в rails console (Rails v4.0.4):

irb(main):020:0> "pepe&pepe <juan>".to_json 
=> "\"pepe\\u0026pepe \\u003Cjuan\\u003E\"" 

Это то, что происходит в irb console (Рубин 2.0.0p247):

irb(main):014:0> "pepe&pepe <juan>".to_json 
=> "\"pepe&pepe <juan>\"" 

Я знаю, что я могу изменить это поведение, но мое беспокойство почему Rails делает это по умолчанию? что может быть следствием не делать этого ?, потому что для меня это выглядит хорошей идеей, чтобы переопределить это поведение, а не избегать html-сущностей, но я уверен, что что-то не хватает.

Answer 1

JSON написан на HTML-контексты - скрипты и атрибуты - много в Rails.

Это по умолчанию побега избегает инъекции в таких случаях: символов, которые имеют смысл в определенном контексте и не сбежавшие представляют собой/XSS риск инъекции.

Если, и только тогда, когда дело в контексте, где такое не так, то его можно смело отключить: по умолчанию просто в пользу «безопасность». Поскольку этот HTML-безопасное преобразование может быть сделан без нарушения какого-либо стандарта и без Цепочки JSON-Equivalency это то, что рассверлить рейл сделал - хорошо для них!

В частности, это позволяет избежать неприятную 'JSON' как:

var x = {"foo": "</script><script>alert('owned')</script>"}; 

JSON встраивается в другие HTML-конструкций, например. атрибуты данных также могут быть проблематичными. Даже с использованием JSON.parse, что потребует дополнительного шага кодирования, оставляет ту же потенциальную проблему.

---

стандартные методы вывода безопасные кодированный применяются к HTML-PCDATA контекстах, но в случае излучающих JSON к элементу скрипта (CDATA) это не желательно и целенаправленно пропущен (например. С raw) ,

Вот another answer of mine где я писал о том, почему такое Экранирование всегда действует, а также предостережение, используя JSON как JavaScript литерал. В отличие от пресловутой и плохо разработанной «добавленной косой черты», безопасный для HTML JSON представляет собой идентичную информацию.

JavaScriptSerializer от Microsoft и json_encode в PHP имеет аналогичное поведение по умолчанию. Контекст по умолчанию, в котором используются эти библиотеки/функции, вероятно, играет большую роль в конфигурациях с безопасным HTML-кодом по умолчанию.