Google क्यों जोड़ रहा है (1); आपके JSON के जवाब के लिए

यह CSRF / XSRF हमलों ( क्रॉस-साइट अनुरोध जालसाजी ) से बचा जाता है।

निम्नलिखित उदाहरण पर विचार करें: मान लें कि Google के पास फ़ॉर्म का URL है gmail.com/json?action=inbox gmail.com/json?action=inbox , जो JSON प्रारूप में आपके इनबॉक्स के पहले 50 संदेशों को लौटाता है। एक हमलावर जिसकी साइट एक अलग डोमेन पर है, एक ही मूल नीति ( डोमेन प्रतिबंध नियम ) के मद्देनजर डेटा प्राप्त करने के लिए इस URL से संपर्क करके AJAX अनुरोध नहीं कर सकता है। लेकिन कुछ भी एक हमलावर को टैग का उपयोग करके अपने पृष्ठ में उपरोक्त URL को शामिल करने से रोकता है .

URL , gmail.com. array , ( ), JSON.

while(1); &&&BLAH&&& . Gmail.com AJAX- . JavaScript - , , ( while(1); ) ( &&&BLAH&&& ).

[ ]

UPD:
d00kie :

— JSON Hijacking, 2007/2008 . , «» , « », . , , , Array() «» ( 2007 ):

Object.prototype.__defineSetter__('Id', function(obj){alert(obj);});

>3.0.11…
.