如何从 JSON 对象中删除__proto__属性
How to remove __proto__ property from a JSON object?
我有以下基于Node-Express的函数:
//function on server side
app.get('/loginCheck', loggedCheck, function(req, res) {
var data = {local: {}, facebook: {}};
data.id = req.user._id;
data.local.email = req.user.local.email;
data.local.fname = req.user.local.fname;
data.local.lname = req.user.local.lname ;
data.local.college = req.user.local.college ;
data.local.degree = req.user.local.degree ;
data.year = req.user.year ;
data.mobile = req.user.mobile ;
data.city = req.user.city ;
data.facebook.id = req.user.facebook.id ;
//res.json(data);
var x = {};
x.name = "someName"
res.json(x);
})
以下是客户端发出 ajax 请求的代码:
//function on client side making an ajax request
$.get("/loginCheck",function(data,status){
console.log(data);
});
在服务器端的前代码中,req.user
是由猫鼬创建的mongodb对象。我想做的是发送数据对象(具有req.user
对象的一些选定属性)并将对象作为 JSON 作为响应发送。
变量x
是自定义创建的变量。
问题是:当我将data
对象发送到客户端时,__proto__
属性也会与对象一起添加,当我向客户端发送x
时,该对象不会发生。但是,我不希望在客户端__proto__
,因为从一些文章中,我发现__proto__
存在安全问题。
我需要有关如何从data
对象中删除__proto__
的帮助。
您只需使用 Object.create(null)
并定义要使用的属性即可放弃对象的原型。
var obj = Object.create(null);
Object.defineProperty(obj, {
'foo': {
value: 1,
enumerable: true,
},
'bar': {
value: 2,
enumerable: false
}
});
// or...
obj.foo = 1
obj.bar = 2
/* various checks */
obj instanceof Object; // false
Object.prototype.isPrototypeOf(obj); // false
Object.getPrototypeOf(obj); // null
obj + ""; // TypeError: Cannot convert object to primitive value
'toString' in obj; // false
foo; // 1
obj['bar']; // 2
JSON.stringify(obj); // {"foo":1}
{}.hasOwnProperty.call(obj, 'foo'); // true
{}.propertyIsEnumerable.call(obj, 'bar'); // false
在这种方法中,您不再需要检查obj.hasOwnProperty(key)
for (var key in obj) {
// do something
}
阅读更多:JavaScript 中的真哈希映射
MDN:Object.defineProperty() &Object.create()
// with __proto__
var obj = {} // equivalent to Object.create(Object.prototype);
obj.key = 'value'
console.log(obj)
// without __proto__
var bareObj = Object.create(null)
Object.defineProperty(bareObj, {
'key': {
value: 'value',
enumerable: false,
configurable: true,
writable: true
}
})
// or... bareObj.key = 'value'
console.log(bareObj)
你不需要删除它。它不会造成任何麻烦/问题。
你可以这样使用。
$.each(data, function(k, v) {
console.log(k, v);
});
从服务器发送__proto__
可能会创建一个 JSON 对象,如果将密钥传输到另一个对象而不删除__proto__
或泄漏敏感数据,则可能会破坏内容。
它出现在编码的 JSON 中是不寻常的,因为它通常被忽略。这表明其他地方可能存在问题或混乱。您正在使用的库可能会意外泄漏或使用它。在封闭系统中使用它可能是可以的,但不应允许它进入或离开系统。
// If is optional.
if('__proto__' in obj)
// This may cause unintended consequences.
delete(obj.__proto__);
在接收数据时,您还应该非常小心,确保它不包含__proto__
属性。如果将该密钥复制到另一个对象,这可能会使服务器崩溃或危害。
如果创建自己的对象,有一些技巧可以改变它的行为,例如使用 defineProperty,但这些技巧往往不能完全消除问题。
只要写
String(<put here your data>)
- 使用php或javascript从facebook相册URL中删除多余的部分
- RegEx删除空属性?例如,如果(class=“”||class=“”)移除;否则就下课
- 如何删除多行HTML排列中的空白
- 如何从rails中的代码中删除新行( )
- 删除对HTML元素的拖动
- 当图像转换为本地存储的DataURL时,EXIF被删除
- 按顺序添加和删除类
- iframe正在添加标签,需要删除它们
- 如何在HTML输入字段中添加不可删除的后缀
- addData()从最新图表中删除.js 2.1.3-怎么了
- 如何覆盖锚点元素's href目标,并在我点击转到目标javascript时删除其他错误
- 删除CKEditor工具栏按钮,但不删除功能
- 当浏览器上的后退按钮到达主页时,我需要删除Class
- 正在删除node.js中已验证的网站
- 正在从页面中删除iframe
- 如何从 HTML 查询中删除项目
- 如何在iOS应用程序中从Firebase中删除超过6小时的数据
- 未捕获的类型错误:无法读取属性'删除'的未定义
- 在不知道深度或父属性的情况下从对象中删除属性
- 解析JSON并从中删除对象会出错