人们为什么要输入“ throw 1; json响应前面的<dont be evil>”和“

Question

Google会像这样返回json：

throw 1; <dont be evil> { foo: bar}

和Facebook的ajax有这样的json：

for(;;); {"error":0,"errorSummary": ""}

他们为什么要放置将停止执行并生成无效json的代码？

如果它无效，他们将如何解析它；如果您尝试评估它，它将崩溃吗？

他们只是将其从字符串中删除（似乎很昂贵）吗？

这有什么安全优势吗？

出于安全考虑，对此：

如果刮板在另一个域上，则它们将不得不使用script标签来获取数据，因为XHR无法跨域工作。即使没有，for(;;);攻击者也将如何获取数据？它没有分配给变量，所以不会因为没有引用而被垃圾回收吗？

基本上要获得跨域数据，他们必须要做

<script src="http://target.com/json.js"></script>

但是，即使没有前置崩溃脚本，攻击者也无法使用任何Json数据，除非将其分配给可以全局访问的变量（在这些情况下不是）。崩溃代码实际上无能为力，因为即使没有崩溃代码，他们也必须使用服务器端脚本来使用其站点上的数据。