eval() is "evil"? chrome特権コード内でのevalすることの危険性について - 今日もスミマセン。

Growl/GNTPアドオンの件を通して、JSONをパースするにあたって eval() がいかに危険であるか認識したので、エントリにまとめてみる。 chrome特権を持つコードでのwindow.eval()の危険性について JSON文字列からオブジェクトを得る方法として、多くの例としてeval()でJSON文字列を評価するという方法が使用される。この方法はお手軽である反面、セキュリティ的なリスクが存在する。なぜなら、evalで評価される文字列はそのままJavascriptの命令として実行されるから。 もしJSON文字列に悪意のあるコードを紛れ込ませることが出来た場合に、攻撃者は用意に訪問者への攻撃を仕掛けることができてしまう。これが、コンテンツ内のJavascriptでの話であってもcookieが盗まれるとか、そこからセッションハイジャックされたり、といったように攻撃者側にある程度の知識が

[abababababababa]

evalはevilの理由。

[uk-ar]

じゃあJSONをどう扱ったらいいのか？ 以下の方法があるらしい * JSON.jsm の JSON.fromString メソッドを使う （Firefox3.0.x系の場合） * Firefox3.5以降では JSONオブジェクトがネイティブサポートされるのでそのメソッド JSON.parse