Hello,

/**

* JSON encode a string value by escaping characters as necessary
     *
     * @param string $string
     * @return string
     */
    protected function _encodeString(&$string)
    {
        // Escape these characters with a backslash or unicode escape:
        // " \ / \n \r \t \b \f
        $search  = array('\', "\n", "\t", "\r", "\b", "\f", '"', ''', '&', '<', '>', '/');
        $replace = array('\\', '\n', '\t', '\r', '\b', '\f', '\u0022', '\u0027', '\u0026',  '\u003C', '\u003E', '\/');
        $string  = str_replace($search, $replace, $string);

// Escape certain ASCII characters:
        // 0x08 => \b
        // 0x0c => \f
        $string = str_replace(array(chr(0x08), chr(0x0C)), array('\b', '\f'), $string);
        $string = self::encodeUnicodeString($string);

return '"' . $string . '"';
    }

  
  
Da fehlt mMn mindestens NULL  
Und was ist mit 0xFF?  
Und dann würde ich im Replace-Array die Schreibweise einheitlich als Unicode-Entity wählen.  
Die übrigen Steuerzeichen zwischen 0x00 und 0x1F sollten mMn auch noch unterdrückt oder ersetzt werden.  
  
  
  
  
Liebe Grüße aus dem schönen Oberharz  
  
  
Tom vom Berg  
![](http://selfhtml.bitworks.de/Virencheck.gif)  
  

-- 
 ☻\_  
/▌  
/ \ Nur selber lernen macht schlau  
[Die ultimative Seite für Selbermacher](http://getscript.de/)

hi molily,

$json = Zend\Json\Json::encode($phpNative);

Guter Hinweis. Ich war bei meinen Recherchen darauf gestoßen, dass Zend einen eigenen JSON-Encoder bietet und hatte vermutet, dass der entsprechende Vorzüge gegenüber der eingebauten Low-Level-Funktion json_encode hat.

Übrigens ist der als separates Composer-Paket unter zendframework/zend-json verfügbar, der Zend Escaper unter zendframework/zend-escaper. Es spricht also nichts dagegen, sie in einem beliebigen PHP-Projekt einzusetzen. (Soweit ich das als PHP-Laie sagen kann.)

So verstehe ich das Zend-Framework. Mag sein, dass du den autoloader und die Zend-Klasse noch brauchst. So war das bei PEAR aber auch, dass du die Pear.php noch brauchtest ...;

mfg

tami

hi molily,

$json = Zend\Json\Json::encode($phpNative);

Guter Hinweis. Ich war bei meinen Recherchen darauf gestoßen, dass Zend einen eigenen JSON-Encoder bietet und hatte vermutet, dass der entsprechende Vorzüge gegenüber der eingebauten Low-Level-Funktion json_encode hat.

Übrigens ist der als separates Composer-Paket unter zendframework/zend-json verfügbar, der Zend Escaper unter zendframework/zend-escaper. Es spricht also nichts dagegen, sie in einem beliebigen PHP-Projekt einzusetzen. (Soweit ich das als PHP-Laie sagen kann.)

• PHP (neuere Version) runtergeladen von: http://windows.php.net/download/ (VC9 Threadsafe, für Windows) [weil composer 5.3+ erwartet]
• liegt jetzt in c:/php
• ggfs. noch die Umgebungsvariable PATH um diesen Pfad erweitern
• php.ini aus dem vorhandenen template erstellt (also php.ini-developer gespeichert unter php.ini) (im verzeichnis php) mit "extension_dir = "ext"" (weil da die extensions bei mir drinne sind, s. download oben) und "extension=php_openssl.dll" versehen (bzw. einkommentiert/auskommentiert wie das auch immer heißt), weil sonst der (vermutlich via php unnötige) download von composer.phar nicht funktioniert
• in c:/composer-test die composer.phar platziert, die ich mit "php -r "readfile('http://getcomposer.org/installer');" | php" heruntergladen hatte (lag dann in meinem User-Dir), kann man auch so runterladen, ist eine PHP-Archiv-Datei("PH"-"Ar")
• die composer.json angepasst (im verzeichnis c:/composer-test) zu:

{  
    "repositories": [  
    {  
        "type": "composer",  
        "url": "https://packages.zendframework.com/"  
    }  
    ],  
    "require": {  
        "zendframework/zend-json": "2.0.*"  
    }  
 }  

~~~ gemäß <http://framework.zend.com/downloads/composer>  
- dann: php composer.phar install ...  
D:\composer-test>php composer.phar install  
Loading composer repositories with package information  
Installing dependencies (including require-dev)  
  - Installing zendframework/zend-stdlib (2.0.8)  
    Downloading: 100%  
  
  - Installing zendframework/zend-json (2.0.8)  
    Downloading: 100%  
  
zendframework/zend-stdlib suggests installing pecl-weakref (Implementation of we  
ak references for Stdlib\CallbackHandler)  
zendframework/zend-json suggests installing zendframework/zend-server (Zend\Serv  
er component)  
Writing lock file  
Generating autoload files  
  
Im Verzeichnis ist jetzt das Verzeichnis "vendor" enstanden.  
  
Der Code (aus dem Verzeichnis, in dem der Ordner "vendor" liegt)  
~~~php
<?php  
require_once "vendor/autoload.php";  
class ToJason {  
    public $foo = '</script><script>alert(/XSS/)</script>';  
}  
$phpNative = new ToJason;  
$json = Zend\Json\Json::encode($phpNative);  
var_dump($json);  

"funzt".

php -f "json_test.php"

string(82) "{"foo":"\u003C/script\u003E\u003Cscript\u003Ealert(/XSS/)\u003C/script\u003E"}"

Exit code: 0

mfg

tami

Hello,

Ist es irgendwie schädlich oder falsch, wenn man Variablenwerte in JS immer in "" einschließt?

Hat das denn jemand behauptet?

Weiß ich nicht. Ich habe jedenfalls danach gefragt, weil das Beispiel mit dem XSS dann nämlich noch nicht funktioniert hätte. Da hätte noch das führende doppelte Anführungszeichen gefehlt, um den aktuellen String abzuschließen, in den die Attacke eingeschleust wurde.

Die Idee dahinter war eigentlich nur, für mich herauszufinden, welche Codes minimalistisch ersetzt werden müssten, damit es nicht kracht. Wie Du schon richtig sagst: man will den Stream ja nicht unnötig aufblasen, indem man alle Ein-Byte-Werte durch Sechs-Byte-Zeichenketten ersetzt.

Ich gehe aber davon aus, dass _das_ dann sicher wäre(?).

Und mir geht es auch darum, in PHP nicht zuviel Overhead zu erzeugen. Wenn man durch eine einfache Replace-Funktion für Sicherheit sorgen kann, muss man ja nicht ein Monster-Modul hinzuladen...
(siehe Tamis Vorschlag).

Strings in JavaScript kann man in " oder ' einschließen, das sagte ich bereits.

Mit Zahlenwerten funktioniert das doch auch. Oder habe ich da einen Spezialfall erwischt?
Ich habe mir dazu das Beispiel aus http://de.selfhtml.org/javascript/sprache/variablen.htm umgebaut und alle numerischen Werte auch in "" verpackt.

JSON verwendet immer Double-Quotes als Stringbegrenzer, erlaubt keine Single-Quotes.

Jo, so langsam kommt doch der Bodenkontakt wieder.

Das mit der "Gleichzeitigkeit" beim Auflösen mag ich aber noch nicht so hinnehmen. Oder arbeiten die Browser beim Parsen schon mit Multithreading? Dann müsste man Prioritäten festlegen können! Sonst könnt es Deadlocks geben.

Liebe Grüße aus dem schönen Oberharz

Tom vom Berg