javascript - アップロードされたJSONをRoRのActiveRecord::Serialization.from_json（）で解析すると、セキュリティの抜け穴が開きますか？

Question

RubyonRailsにエクスポート/インポート機能を実装することを計画しています。JSONにはJavaScriptを含めることができるので、rubyにJSONをハッシュに変換するように依頼すると、実行される可能性のある悪意のあるコードを誰かが挿入できるのではないかと思います。

Answer 1

いいえ、JSONにJavaScriptコード*を含めることはできません。これは、Javascriptオブジェクトリテラルシンタックスのより厳密なバージョンです。

http://json.org/

*-実際には、JavaScriptコードを文字列のJSONに含めることができますが、解析されません。