在研究JSON与XML的问题时，我遇到了这个问题。现在，选择JSON的原因之一是Java的易于转换，即使用eval()。现在，从安全角度来看，这立即使我感到潜在的问题。

因此，我开始对JSON的安全性方面进行研究，并在此博客文章中就JSON的安全性不如人们认为的那样进行了研究。这部分突出：

更新： 如果您正确地执行JSON
100％，那么您只会在顶层拥有对象。数组，字符串，数字等都将被包装。然后，JSON对象将无法执行eval（），因为JavaScript解释器会认为它正在查看的是块而不是对象。这对于防止这些攻击有很长的路要走，但是仍然最好使用不可预测的URL保护您的安全数据。

好的，这是一个很好的开始规则：顶级的JSON对象应该始终是对象，而不是数组，数字或字符串。听起来对我来说是个好规则。

关于JSON和AJAX相关的安全性，还有其他事情要做或避免吗？

以上引用的最后一部分提到了不可预测的URL。是否有人对此有更多信息，特别是您如何使用PHP？与Java相比，我在Java方面的经验要丰富得多，并且在Java中这很容易（因为您可以将整个URL映射到单个servlet），而我所做的所有PHP都将单个URL映射到了PHP脚本。

另外，您如何精确地使用不可预测的URL来提高安全性？