json-sanitizer

JSON과 유사한 콘텐츠가 주어지면 JSON Sanitizer는 이를 유효한 JSON으로 변환합니다.

시작하기 - 연락처

이것은 데이터 파이프라인의 양쪽 끝에 부착되어 Postel의 원칙을 충족하는 데 도움을 줄 수 있습니다:

자신이 하는 일에는 보수적으로, 남에게서 받아들일 때는 너그럽게

다른 사람의 JSON과 유사한 콘텐츠에 적용하면, 잘 구성된 JSON을 생성하여 사용하는 모든 파서를 만족시킬 것입니다.

보내기 전에 출력에 적용하면, 인코딩의 사소한 오류를 강제 변환하여 JSON을 HTML 및 XML에 더 쉽게 포함시킬 수 있습니다.

동기

많은 애플리케이션에는 JSON 출력을 생성하기 위해 임시 방식을 사용하는 대량의 코드가 있습니다.

종종 이러한 출력은 네트워크를 통해 전송되기 전에 소량의 프레임워크 코드를 통과합니다. 이 소량의 프레임워크 코드는 이 라이브러리를 사용하여 임시 출력이 표준을 준수하고 Javascript의 eval 연산자와 같은 (지나치게) 강력한 역직렬화기에 전달하기에 안전한지 확인할 수 있습니다.

애플리케이션은 또한 다양한 소스로부터 JSON을 수신하는 웹 서비스 API를 자주 가지고 있습니다. 이 JSON이 임시 방식을 사용하여 생성된 경우, 이 라이브러리는 이를 구문 분석하기 쉬운 형태로 가공할 수 있습니다.

이 라이브러리를 요청과 응답을 보내고 받는 코드에 연결함으로써, 소프트웨어 아키텍트는 시스템 전반의 보안과 올바른 형식 보장을 확보할 수 있습니다.

입력

새니타이저는 JSON과 유사한 콘텐츠를 받아 JS eval처럼 해석합니다. 구체적으로, 다음과 같은 비표준 구성을 처리합니다.

새니타이저는 누락된 구두점, 끝 따옴표, 일치하지 않거나 누락된 닫는 괄호를 수정합니다. 입력에 공백만 포함된 경우 유효한 JSON 문자열 null이 대체됩니다.

출력

출력은 RFC 4627에 정의된 잘 구성된 JSON입니다. 출력은 다음과 같은 추가 속성을 충족합니다:

• 출력은 (대소문자 구분 없이) "</script" 부분 문자열을 포함하지 않으므로 추가 인코딩 없이 HTML script 요소 내에 포함될 수 있습니다.
• 출력은 "]]>" 부분 문자열을 포함하지 않으므로 추가 인코딩 없이 XML CDATA 섹션 내에 포함될 수 있습니다.
• 출력은 유효한 Javascript 표현식이므로 (괄호로 감싼 후) Javascript의 내장 eval 또는 JSON.parse로 구문 분석할 수 있습니다. 특히, 출력에는 JS 개행 문자(U+2028 단락 구분자 또는 U+2029 줄 구분자)가 포함된 문자열 리터럴이 포함되지 않습니다.
• 출력에는 이스케이프되지 않은 상태에서 XML에서 허용되는 유효한 유니코드 스칼라 값만 포함됩니다 (분리된 UTF-16 서로게이트 없음).

보안

출력이 잘 구성된 JSON이므로 eval에 전달하면 부작용이나 자유 변수가 없으므로 코드 삽입 벡터도, 비밀 유출 벡터도 아닙니다.

이 라이브러리는 JSON 문자열 → Javascript 객체 단계에 부작용이 없고 자유 변수를 해석하지 않도록 보장할 뿐이며, 이후 다른 클라이언트 측 코드가 결과 Javascript 객체를 해석하는 방식을 제어할 수 없습니다. 따라서 클라이언트 측 코드가 공격자에 의해 제어되는 구문 분석된 데이터의 일부를 가져와 eval 또는 innerHTML과 같은 강력한 인터프리터에 다시 전달하면 해당 클라이언트 측 코드는 의도하지 않은 부작용을 겪을 수 있습니다.

var myValue = eval(sanitizedJsonString);  // safe
var myEmbeddedValue = eval(myValue.foo);  // possibly unsafe

또한, JSON을 새니타이징하는 것은 혼란스러운 대리자 공격으로부터 애플리케이션을 보호할 수 없습니다.

var myValue = JSON.parse(sanitizedJsonString);
addToAdminstratorsGroup(myValue.propertyFromUntrustedSource);

성능

새니타이즈 메서드는 입력이 위의 속성을 만족하는 이미 유효한 JSON인 경우 새 버퍼를 할당하지 않고 입력 문자열을 반환합니다. 따라서 일반적으로 잘 구성된 입력에 사용하면 메모리 오버헤드가 최소화됩니다.

새니타이즈 메서드는 O(n) 시간이 소요되며, 여기서 n은 UTF-16 코드 단위로 측정된 입력의 길이입니다.