JSONの解析：構文、契約、信頼を区別する

有効な入力でも意味は異なる

JSON文書はオブジェクト、配列、単純値を取れます。契約がオブジェクトを要求してもnull自体は有効です。一部の数値はJavaScriptの整数精度を超え、重複プロパティ名はパーサー間で解釈が異なります。

受信の各段階を確認する

• 保守されたJSONパーサーを使い、evalは使いません。HTTP状態、想定コンテンツ型、サイズ上限、本文欠落や破損の明示的な処理を確認します。
• 次に契約を検証します。ルート型、必須項目、許可値、欠落・null・ゼロの違いを確認し、契約で定めた長い識別子は文字列として保持します。
• 深さとリソースの上限、重複名の方針、エラー処理を定めます。受信文字列を適切な保護なしにHTMLやクエリへ挿入しません。

情報を漏らさず役立つエラーを残す

部分応答、バージョン変更、Unicodeを試験します。秘密や本文全体ではなく最小限の文脈を記録します。解析失敗を空の成功結果として扱ったり、処理全体を黙って停止させたりしないでください。

一次資料

• IETF RFC 8259 — JSON Data Interchange Format [EN]
• MDN — JSON.parse() [EN]

{
    "page_1_ids": [
        "A",
        "B"
    ],
    "page_2_ids": [
        "B",
        "C"
    ],
    "next_cursor": "c2",
    "empty_page_has_next_cursor": true
}