val it: α → α = fun

JSONについては、外から受け取ったデータを安易にevalに渡してしまうようなケースの方が心配。

というのが、 JavaScript でプログラムを書いていて気になっているところです。っていうかつまりなんだ、いきなり eval するわけですよね。もしトンでもないことが書いてあったら任意のコードを実行できてしまうんじゃねえかと。

JavaScript 以外の言語の場合、 JSON ライブラリというのはふつうにパースして何らかの内部表現に変換するわけですから、奇妙なものが混じっていてもパースエラーにできるんですが。かといって JavaScript で JSON パーサを書く、っていうのも、なんというかいかにもアホくさくていいですなあ。

MochiKit のコードを見ると、 () で括って eval しているんですが、そういう方式が一般的なのかな。言語仕様上、複数の文が入れられないとか、そういうことを利用したハックなんですかね。

つまり、

some_evil_proc(); {"normal": "json"}

みたいなプログラムは取り除ける。でも、

{"some": evil_proc(), "normal": "json"}

みたいな ill-formed な JSON は省けないよねえ、とか思うんですけれども、実際がとこ、どういう感じなんでしょうね。

っていう話については JavaScript の専門家諸氏からは実質的な危険についての詳しいアドヴァイスがすぐにどこかで掲載されると思うんですけれども、うーん、まあ、気分的なものなのかな、っていうのは思うんですけれども、シリアライズされたデータを取り出すのに eval するしかないってのは私は感覚的にイヤなんですよね。でも JSON のメリットってそこだからねえ。