json-sanitizer

JSON과 유사한 콘텐츠가 주어졌을 때, JSON Sanitizer는 이를 유효한 JSON으로 변환합니다.

시작하기 - 연락처

이 라이브러리는 데이터 파이프라인의 양쪽 끝에 연결하여 Postel의 원칙을 충족하는 데 도움을 줄 수 있습니다:

네가 하는 일에는 보수적으로, 남에게서 받아들이는 것에는 관대하게

다른 곳에서 받은 JSON 유사 콘텐츠에 적용하면, 어떤 파서를 사용하든 만족시킬 수 있는 잘 구성된 JSON을 생성합니다.

보내기 전에 자신의 출력에 적용하면, 인코딩의 사소한 실수를 교정하고 JSON을 HTML과 XML에 더 쉽게 삽입할 수 있게 해줍니다.

동기

많은 애플리케이션은 JSON 출력을 생성하기 위해 임시 방식(ad-hoc methods)을 사용하는 대량의 코드를 보유하고 있습니다.

이러한 출력은 종종 네트워크로 전송되기 전에 소량의 프레임워크 코드를 통과합니다. 이 소량의 프레임워크 코드는 이 라이브러리를 사용하여 임시 출력이 표준을 준수하고 Javascript의 eval 연산자와 같은 (지나치게) 강력한 역직렬화기에 전달하기에 안전한지 확인할 수 있습니다.

애플리케이션은 또한 다양한 소스에서 JSON을 수신하는 웹 서비스 API를 자주 보유합니다. 이 JSON이 임시 방식으로 생성된 경우, 이 라이브러리는 이를 쉽게 파싱할 수 있는 형태로 다듬을 수 있습니다.

이 라이브러리를 요청과 응답을 보내고 받는 코드에 연결함으로써, 소프트웨어 아키텍트는 시스템 전반의 보안과 정형성(well-formedness) 보장을 확립하는 데 도움을 받을 수 있습니다.

입력

새니타이저는 JSON과 유사한 콘텐츠를 받아 JS eval이 평가하는 방식으로 해석합니다. 구체적으로 다음 비표준 구문을 처리합니다.

새니타이저는 누락된 구두점, 끝 따옴표, 불일치하거나 누락된 닫는 대괄호를 수정합니다. 입력에 공백만 포함된 경우 유효한 JSON 문자열 null이 대신 사용됩니다.

출력

출력은 RFC 4627에 정의된 잘 구성된 JSON입니다. 출력은 다음 추가 속성을 충족합니다:

• 출력에는 (대소문자 구분 없이) "</script" 하위 문자열이 포함되지 않으므로 추가 인코딩 없이 HTML script 요소 안에 삽입할 수 있습니다.
• 출력에는 "]]>" 하위 문자열이 포함되지 않으므로 추가 인코딩 없이 XML CDATA 섹션 안에 삽입할 수 있습니다.
• 출력은 유효한 Javascript 표현식이므로 Javascript의 eval 내장 함수(괄호로 감싼 후) 또는 JSON.parse로 파싱할 수 있습니다. 구체적으로, 출력에는 JS 개행 문자(U+2028 단락 구분 기호 또는 U+2029 줄 구분 기호)가 포함된 문자열 리터럴이 포함되지 않습니다.
• 출력에는 XML에서 이스케이프 없이 허용되는 유효한 유니코드 스칼라 값만 포함됩니다(분리된 UTF-16 서로게이트 없음).

보안

출력이 잘 구성된 JSON이므로 이를 eval에 전달해도 부작용이나 자유 변수가 없으며, 따라서 코드 주입 벡터도 아니고 비밀 유출 벡터도 아닙니다.

이 라이브러리는 JSON 문자열 → Javascript 객체 단계에 부작용이 없고 자유 변수를 해석하지 않음을 보장할 뿐이며, 결과 Javascript 객체를 이후에 다른 클라이언트 측 코드가 어떻게 해석하는지는 제어할 수 없습니다. 따라서 클라이언트 측 코드가 파싱된 데이터 중 공격자가 제어하는 일부를 가져와 eval이나 innerHTML과 같은 강력한 인터프리터에 다시 전달한다면 해당 클라이언트 측 코드는 의도치 않은 부작용을 겪을 수 있습니다.

var myValue = eval(sanitizedJsonString);  // safe
var myEmbeddedValue = eval(myValue.foo);  // possibly unsafe

또한 JSON을 새니타이징한다고 해서 애플리케이션을 혼동된 대리인 공격(Confused Deputy attacks)으로부터 보호할 수는 없습니다.

var myValue = JSON.parse(sanitizedJsonString);
addToAdminstratorsGroup(myValue.propertyFromUntrustedSource);

성능

sanitize 메서드는 입력이 위 속성을 충족하는 이미 유효한 JSON인 경우 새 버퍼를 할당하지 않고 입력 문자열을 반환합니다. 따라서 일반적으로 잘 구성된 입력에 사용하면 메모리 오버헤드가 최소화됩니다.

sanitize 메서드는 입력 길이(UTF-16 코드 단위 기준)를 n으로 할 때 O(n) 시간이 걸립니다.