javascript - Facebookでの奇妙なJSONP応答

Question

次のJSONP応答構文を使用する理由は何ですか？

がある：

for (;;); {"t":"heartbeat"}
{"t":"heartbeat"}
{"t":"continue","seq":0}

私の質問は、for(;;);このJSONP応答で正確に何をするかということです。どのように解析されますか？

score 5 · Accepted Answer

これはJSONPではありません。これはJSONであり、JSONPとして使用すると失敗するように意図的に変更されています。

そのURLをタグに含めると、ブラウザが無限ループ<script>でフリーズします。for

これにより、攻撃者がそれを外部サイトに含めたりObject.defineProperty、セッター関数を作成してSOPをバイパスしたりすることを防ぎます。

score 3 · Accepted Answer

それはセキュリティ上の理由からです。JSONPは実際にはJSONではなく、実行されるJavaScriptファイルです。

そこfor(;;);にあるので、（Facebook以外の）人々がそのファイルにアクセスしようとしても、アクセスできません。

注：これはJSONPではありませんが、ブラウザはそれを認識していません。それを実行しようとすると、無限ループに陥ります。

2 に答える 2