json格式xss漏洞的方法

JSON 格式的 XSS 漏洞，是指攻击者利用前端服务返回的 JSON 格式数据，在页面中成功注入恶意代码实现攻击的一种方式。

攻击方法主要有两种：

1. 直接注入

攻击者在 JSON 格式的数据中，掺杂恶意代码，例如：

{
  "name": "张三",
  "age": "<script>alert('XSS攻击')</script>"
}

当服务端返回这段 JSON 数据，渲染到前端页面使用时，恶意代码会被成功执行。

2. 利用 JSONP

JSONP 是一种跨域请求的解决方案，其利用 script 标签可以跨域加载 JavaScript 的特性，但同时也引发了一些安全问题。

攻击者可以通过 JSONP 发送一个请求，将自己的恶意代码作为回调函数的参数传递过来。例如：

<script src="http://www.targetwebsite.com/getData?callback=evilFunc"></script>
<script>
function evilFunc(data) {
  // 执行恶意代码
}
</script>

当服务端返回的数据是这样的形式，就会导致恶意代码被执行。

为了防止这种攻击，我们可以采取以下措施：

1. 对从服务端返回的 JSON 数据进行过滤和校验。

2. 禁止使用 eval 函数，将 JSON 数据转换成 JavaScript 对象时，使用 JSON.parse 函数。

3. 采用 CSP 策略，限制页面中能够执行的脚本类型。

4. 避免使用 JSONP 跨域请求。如果使用了 JSONP，应该对返回的数据进行过滤。