读取JSON：区分语法、契约与信任

有效输入可能意义不同

JSON文档可以是对象、数组或简单值。因此即使契约要求对象，null在语法上也有效。部分数字超过JavaScript整数精度，重复属性名在不同解析器中也可能有不同解释。

检查每个接收阶段

• 使用受维护的JSON解析器，绝不使用eval。检查HTTP状态、预期内容类型、大小限制，明确处理缺失或格式错误的正文。
• 然后验证契约：根类型、必需字段、允许值，以及缺失、null和零的区别。契约规定时，将长标识保留为字符串。
• 设置深度与资源上限、重复名称策略和错误处理。没有适当防护，不要把收到的字符串插入HTML或查询。

记录有用错误而不暴露数据

测试部分响应、版本变化与Unicode。记录最少必要上下文，而不是秘密或完整正文。解析失败不能变成看似成功的空结果，也不能悄然停止整条处理链。

一手资料

• IETF RFC 8259 — JSON Data Interchange Format [EN]
• MDN — JSON.parse() [EN]

{
    "page_1_ids": [
        "A",
        "B"
    ],
    "page_2_ids": [
        "B",
        "C"
    ],
    "next_cursor": "c2",
    "empty_page_has_next_cursor": true
}