---

http://haacked.com/archive/2009/06/25/json-hijacking.aspx 

某個本來是要給ajax回應的json檔
若被其他網站利用<script src=...載入的話
json檔中需要使用者登入才能取得的資料，就有可能被其他網站抓走

 
google 回傳的JSON檔都會在前面放一個 while(1); 來防止 json hijacking

 

要避免這個問題，最簡單的作法就是『不要透過 HTTP GET 送出 JSON 資料』
雖然 jQuery 沒有內建 $.postJSON 方法，但卻非常容易實做，且在官網的 jQuery.post 文件有提供一個簡單的範例如下：

$.postJSON = function(url, data, callback) {
    $.post(url, data, callback, "json");
};


 

防治方式

1. 僅允許使用 HTTP POST method 傳輸資料

2. 檢查referer
伺服端須檢查使用者瀏覽網頁之referer是否來自相同網域。

3. 加上注釋符號或是改用 XML 格式

 

--
※ 作者: Knuckles 時間: 2013-02-17 12:10:17
※ 編輯: Knuckles 時間: 2013-02-17 12:11:02