Golang中如何使用gin框架的SecureJSON功能

Golang中如何使用gin框架的SecureJSON功能 如何在 Angular 中使用 securejson 响应。

它在响应前添加了 while(1);。

我需要解析或使用其他方法。

请指导我。

7 回复

请帮帮我。如何在 Angular 中使用 securejson

更多关于Golang中如何使用gin框架的SecureJSON功能的实战系列教程也可以访问 https://www.itying.com/category-94-b0.html


如何在Angular中解析或移除

在Angular或其他语言中应该有一些方法。它应该能理解这个标签。While(1)

感谢大家。

现在它对我来说可以正常工作了。

我添加了这行代码：

( server.SecureJsonPrefix(")]}',\n") )

如果我们不指定，默认情况下它会使用 while(1)，而 Angular 无法解析这个 JSON。

我收到的响应如下：

while(1);[
    {
        "companycode": 1,
        "Name": "demo",
        "Add1": "add1",
        "Add2": "",
        "Add3": "",
        "Website": "",
        "Logopath": ""
    }
]

packs:

如何在 Angular 中使用 securejson 响应。

它会在响应前添加 while(1);。

我需要解析或使用其他方法。

请指导我

  • 安全的 JSON 传输通常涉及 HTTPS，它加密了客户端（你的 Angular 应用程序）和服务器之间的数据。这可以保护数据不被拦截和篡改。

根据文档：

使用 SecureJSON 来防止 JSON 劫持。默认情况下，如果给定的结构体是数组值，会在响应体前添加 “while(1),”。

所以它的行为完全符合预期。我不太确定在 JSON 前添加这个前缀如何能防止劫持，而且看来不止我一个人这么想：

无论你认为 JSON 前缀能提供什么安全保护，我从未理解过它的任何单一用途；证据就是你最终还是会把它剥离掉。从来没有人能够阐明 JSON 前缀的任何实际好处或理由。据我所知，这只是 Adobe 多年前出于“某些原因”做的事情，而大家都跟着这么做，因为它“与安全有关”。

但是——考虑到文档所说的，你得到的结果正是你应该预期的。

在Golang中使用gin框架的SecureJSON功能可以防止JSON劫持攻击，它会在JSON响应前添加while(1);前缀。以下是具体使用方法：

1. 基本使用示例

package main

import (
    "github.com/gin-gonic/gin"
)

func main() {
    r := gin.Default()
    
    r.GET("/secure-json", func(c *gin.Context) {
        data := gin.H{
            "name":  "John Doe",
            "email": "john@example.com",
            "age":   30,
        }
        
        // 使用SecureJSON返回响应
        c.SecureJSON(200, data)
    })
    
    r.Run(":8080")
}

2. 处理数组响应

func main() {
    r := gin.Default()
    
    r.GET("/secure-array", func(c *gin.Context) {
        users := []gin.H{
            {"id": 1, "name": "Alice"},
            {"id": 2, "name": "Bob"},
            {"id": 3, "name": "Charlie"},
        }
        
        // 数组也会被保护
        c.SecureJSON(200, users)
    })
    
    r.Run(":8080")
}

3. 自定义前缀

func main() {
    r := gin.Default()
    
    // 设置自定义前缀（默认为"while(1);"）
    r.SecureJsonPrefix("for(;;);")
    
    r.GET("/custom-prefix", func(c *gin.Context) {
        data := gin.H{
            "status": "success",
            "data":   "protected content",
        }
        
        c.SecureJSON(200, data)
    })
    
    r.Run(":8080")
}

4. Angular端处理示例

在Angular中，你需要移除前缀后再解析JSON：

import { HttpClient } from '@angular/common/http';

@Injectable()
export class DataService {
  constructor(private http: HttpClient) {}
  
  getSecureData() {
    return this.http.get('/secure-json', { responseType: 'text' })
      .pipe(
        map(response => {
          // 移除 while(1); 前缀
          const jsonString = response.replace(/^while\(1\);/, '');
          return JSON.parse(jsonString);
        })
      );
  }
  
  // 或者使用拦截器统一处理
}

5. 创建拦截器统一处理

import { Injectable } from '@angular/core';
import { HttpInterceptor, HttpHandler, HttpRequest, HttpResponse } from '@angular/common/http';
import { tap } from 'rxjs/operators';

@Injectable()
export class SecureJsonInterceptor implements HttpInterceptor {
  intercept(req: HttpRequest<any>, next: HttpHandler) {
    return next.handle(req).pipe(
      tap(event => {
        if (event instanceof HttpResponse && typeof event.body === 'string') {
          const body = event.body;
          // 检查并移除安全前缀
          if (body.startsWith('while(1);') || body.startsWith('for(;;);')) {
            const jsonBody = JSON.parse(body.substring(9)); // 移除前缀
            event = event.clone({ body: jsonBody });
          }
        }
      })
    );
  }
}

6. 在Gin中条件性使用SecureJSON

func main() {
    r := gin.Default()
    
    r.GET("/api/data", func(c *gin.Context) {
        data := gin.H{
            "message": "Hello World",
            "items":   []string{"item1", "item2", "item3"},
        }
        
        // 根据条件选择是否使用SecureJSON
        useSecure := c.Query("secure") == "true"
        
        if useSecure {
            c.SecureJSON(200, data)
        } else {
            c.JSON(200, data)
        }
    })
    
    r.Run(":8080")
}

SecureJSON主要用于防止旧版浏览器中的JSON劫持攻击，现代浏览器通常不需要这种保护。如果前端是可控的，可以考虑使用常规的JSON响应。

回到顶部