Go 解析器的“隐秘角落”：encoding/json 的安全陷阱与 JSONv2 的救赎
💡
原文中文，约12000字，阅读约需29分钟。
📝
内容提要
Go语言的encoding/json包在处理非受信数据时存在安全隐患，可能导致未标记字段暴露和重复键处理不当。即将推出的JSONv2将改善这些问题，增强安全性。开发者需关注解析行为，确保数据安全。
🎯
关键要点
- Go语言的encoding/json包在处理非受信数据时存在安全隐患。
- 未标记字段可能暴露，导致敏感数据被攻击者利用。
- 即将推出的JSONv2将改善这些安全问题，增强安全性。
- 开发者需关注解析行为，确保数据安全。
- encoding/json的默认行为可能导致意外的序列化/反序列化。
- 无标签字段在反序列化时可能被意外修改。
- 误用json:"-,omitempty"可能导致字段被外部控制。
- 解析器在处理重复字段时的行为可能导致安全漏洞。
- 大小写不敏感的键名匹配是Go JSON解析器的一个缺陷。
- 未知键的潜在风险可能导致参数污染。
- 尾部垃圾数据可能被攻击者利用，导致安全问题。
- JSONv2将引入更严格的解析规则，提升安全性。
- 开发者应保持服务边界的解析一致性，避免数据格式混淆。
- 关注JSONv2的进展，积极准备未来的迁移。
- 利用静态分析工具检测代码中的JSON解析误用模式。
- 编写明确的测试用例，确保解析行为符合预期。
❓
延伸问答
Go语言的encoding/json包存在哪些安全隐患？
encoding/json包在处理非受信数据时可能导致未标记字段暴露和重复键处理不当，存在安全漏洞。
JSONv2将如何改善Go语言的安全性？
JSONv2将引入更严格的解析规则，禁止重复名称、采用大小写敏感匹配，并加强对未知键的控制。
开发者如何确保使用encoding/json时的数据安全？
开发者应关注解析行为，使用Decoder.DisallowUnknownFields()，并编写明确的测试用例以确保解析符合预期。
Go语言的encoding/json包在反序列化时有哪些意外行为？
未标记字段可能被意外修改，且大小写不敏感的键名匹配可能导致意外的序列化/反序列化结果。
如何避免在Go中误用json标签？
开发者应正确使用json标签，避免将json:"-,omitempty"误用为json:"-"，并确保字段名正确。
Go解析器的大小写不敏感特性有什么风险？
大小写不敏感的特性可能导致攻击者利用重复键的差异性绕过安全控制，造成权限问题。
➡️
