JavaScript中JSON解析：eval与JSON.parse的安全性与差异详解
本文对比JavaScript中解析JSON字符串的两种主要方式：eval与JSON.parse。eval方法存在执行任意代码的安全漏洞，而JSON.parse具备严格的格式校验机制，能拦截非法内容。文章通过具体代码示例演示了两者在处理恶意输入时的不同表现，建议在实际开发中优先使用JSON.parse以保障应用安全。
JSON与XML的比较优势
JSON与XML相比，具有显著的优势。
首先，JSON的数据长度通常比XML更短小，有助于减少网络传输的数据量。
其次，JSON的读取和处理速度更快，能够提升应用性能。
此外，JSON可以直接利用JavaScript的内置方法进行解析，并转换为JavaScript对象，操作十分便捷。
JSON解析方法：eval与JSON.parse
在JavaScript中，可以使用eval函数将JSON字符串转换为JSON对象。
var jsonData = '{"persons":{"name":"成龙","age":58},{"name":"吴京","age":33},"name":"甄子丹","age":44}';
var jsonObj = eval('('+jsonData+')');
//访问json对象数组的第一个对象的name属性
console.log(jsonObj.persons[0].name);另一种更推荐的方式是使用JSON.parse函数将JSON字符串转换为JSON对象。
var jsonData = '{"persons":{"name":"成龙","age":58},{"name":"吴京","age":33},"name":"甄子丹","age":44}';
var jsonObj = JSON.parse(jsonData);
//访问json对象数组的第一个对象的name属性
console.log(jsonObj.persons[0].name);eval方法的安全风险
然而，eval方法存在严重的安全隐患，例如：
var jsonData = '{"persons":{"name":"成龙","age":window.alert(123)},{"name":"吴京","age":33},"name":"甄子丹","age":44}';
var jsonObj = eval('('+jsonData+')');
//访问json对象数组的第一个对象的name属性
console.log(jsonObj.persons[0].name);如果将age的值替换为JavaScript代码，eval依然会解析并执行它。若有人恶意篡改代码，可能导致严重后果。
JSON.parse的安全机制
相比之下，JSON.parse则不同。
var jsonData = '{"persons":{"name":"成龙","age":window.alert(123)},{"name":"吴京","age":33},"name":"甄子丹","age":44}';
var jsonObj = JSON.parse(jsonData);
//访问json对象数组的第一个对象的name属性
console.log(jsonObj.persons[0].name);浏览器会检查JSON中的不合理代码，并报告错误，从而阻止潜在的安全风险。
因此，推荐使用JSON.parse来解析JSON字符串。
eval与JSON.parse的详细对比
PS：下面在单独介绍下eval()和JSON.parse()的区别
我们将一个字符串解析成json对象时可以使用两种方法：
假设我们有一个json格式的字符串：
'{
"student" : [
{"name":"鸣人","age":17},
{"name":"小樱","age":17},
{"name":"佐助","age":17}
]
}'然后我们需要把它解析成json对象
1、eval（）代码如下：
var data = '{"student" : [{"name":"鸣人","age":17}, {"name":"小樱","age":17},{"name":"佐助","age":17}]}';
eval('(' + data + ')');2、JSON.parse()代码如下：
var data = '{"student" : [{"name":"鸣人","age":17}, {"name":"小樱","age":17},{"name":"佐助","age":17}]}';
JSON.parse(data);区别：eval方法不会去检查给的字符串时候符合json的格式~同时如果给的字符串中存在js代码eval也会一并执行~比如如果上面的json格式的字符串改为：(注意红色部分)
var data = '{"student" : [{"name":"鸣人","age":17}, {"name":"小樱","age":alert("hehe")},{"name":"佐助","age":17}]}';此时执行eval方法后会先弹出一个提示框输出hehe的字符串~
但是使用JSON.parse()就会报错~显示错误信息为当前字符串不符合json格式~即JSON.parse()方法会检查需要转换的字符串是否符合json格式~
安全性总结与建议
相比较而言eval方法是很危险的~特别是当涉及到第三方时我们需要确保传给eval的参数是我们可以控制的~不然里面插入比如window.location~指向一个恶意的连接~那叫叫天啦
从这个层面讲~还是推荐使用JSON.parse来实现json格式字符串的解析
考虑到我们在制造json格式的字符串时极易出现错误~这里推荐一个json格式字符串的在线校验工具：http://jsonlint.com/
怎么优化 React 应用性能？避免不必要的重渲染
2026-11-05 12:43:40
怎么利用 Nuxt.js useHead 优化 SEO 与元数据管理
2026-11-05 10:37:58
JS混淆常见手段解析：字符串加密与控制流平坦化还原思路
2026-11-04 19:07:42
JavaScript能在浏览器中直接获取MAC地址吗
2026-11-03 20:34:17
JavaScript策略模式：用对象映射替代if-else分支
2026-11-03 19:46:11