12. 安全考虑事项 (Security Considerations)

一般而言, 脚本语言存在安全问题. JSON 是 JavaScript 的一个子集, 但排除了赋值和调用.

由于 JSON 的语法借自 JavaScript, 可以使用该语言的 eval() 函数来解析大多数 JSON 文本, 但不是全部; 某些字符, 例如 U+2028 LINE SEPARATOR 和 U+2029 PARAGRAPH SEPARATOR, 在 JSON 中合法, 但在 JavaScript 中不合法. 这通常构成不可接受的安全风险, 因为文本中可能既包含数据声明, 也包含可执行代码. 在任何其他编程语言中, 如果 JSON 文本符合该语言的语法, 使用类似 eval() 的函数时也适用同样的考虑.