Go 解析器的“隐秘角落”：encoding/json 的安全陷阱与 JSONv2 的救赎
💡
原文中文，约12000字，阅读约需29分钟。
📝
内容提要
Go语言的encoding/json包在处理非受信数据时存在安全隐患，可能导致未标记字段暴露和重复键处理不当。即将推出的JSONv2将改善这些问题，增强安全性。开发者需关注解析行为，确保数据安全。
🎯
关键要点
- Go语言的encoding/json包在处理非受信数据时存在安全隐患。
- 未标记字段可能暴露，导致敏感数据被攻击者利用。
- 即将推出的JSONv2将改善这些安全问题，增强安全性。
- 开发者需关注解析行为，确保数据安全。
- encoding/json的默认行为可能导致意外的序列化/反序列化。
- 无标签字段在反序列化时可能被意外修改。
- 误用json:"-,omitempty"可能导致字段被外部控制。
- 解析器在处理重复字段时的行为可能导致安全漏洞。
- 大小写不敏感的键名匹配是Go JSON解析器的一个缺陷。
- 未知键的潜在风险可能导致参数污染。
- 尾部垃圾数据可能被攻击者利用，导致安全问题。
- JSONv2将引入更严格的解析规则，提升安全性。
- 开发者应保持服务边界的解析一致性，避免数据格式混淆。
- 关注JSONv2的进展，积极准备未来的迁移。
- 利用静态分析工具检测代码中的JSON解析误用模式。
- 编写明确的测试用例，确保解析行为符合预期。
➡️
