Vlákno názorů k článku
Jiří Kosek: XML už je všude

> Otázka: Ale na webu se prosadil JSON. A to na mnoha místech, kde vévodilo XML.
> Odpověď JK: Na malé pokusy a hraní to bylo úžasné. Ale jakmile začnete JSON používat v masovém měřítku, musí se řešit problémy, např. že eval není bezpečný a měl by se tam vložit parser. Pak se zjistí, že by bylo dobré data validovat, tak se přidá schéma. Takže se udělá úplně to stejné, co už v XML je.

Můj názor: Co je tohle za nesmysly? Proč by eval neměl být bezpečný? Proč by se měla odpověď od serveru validovat? Když posílám dotaz svému serveru, tak snad vím, co jsem tam naprogramoval a co mi přijde za odpověď.

V dotazu se přeci jednalo o použití formátu JSON na webu, ne při přenosu dat mezi kdovíjak velkými aplikacemi. Já používám JSON bez obtíží a jsem za něj moc rád (jednoduchost a rychlost zpracování, malé množství dat, velká podpora formátu).

Používáním JSON pouze z vlastních dat je mýtus. Jednak služby, které předávají data dalším serverům, rostou jako houby po dešti (byť se tam následně musí nějak řešit komunikace napříč doménami) a pak i samotné omezení v komunikaci na vlastní server je již passé.

V nových verzích prohlížečů se totiž pomalu objevuje ajaxová komunikace napříč doménami. Načítání JSON pomocí evalu byl opravdu jen jednoduchý trik, který pro jeho větší rozšíření (které nastává) nebude stačit. To je ostatně i důvod proč autor formátu JSON, Douglas Crockford, již dnes doporučuje používat alespoň javascriptový parser (který sám navrhl a napsal) namísto funkce eval.

Nevím, proč by omezení v komunikaci na vlastní server "je již passé". Držíme se toho, co se používá dnes, ne toho, co nám výrobci "slibují pro příští pětiletku" a většina používaných prohlížečů komunikaci na server mimo doménu blokují, takže se musí nějak řešit "komunikace napříč doménami".

Můj názor zní, že ona zmíněná komunikace "komunikace napříč doménami" nemusí být jen prostý tunel na mém serveru, může odpověď parsovat, ověřit, zpracovat a pak teprve poslat data klientu. Na vlastním serveru mám totiž mnohem větší kontrolu nad tokem dat a zásobu odladěných knihoven než na klientu.

Když udělám tenhle jednoduchý mezikrok, můžu už na klientu důvěřovat poslaným datům i bez ověřování.

Tak nejen slibují. Takový to IE8 představil už loni. W3C finišuje standardizaci tohoto řešení a od ostatních čekám, že do jednoho roku tu budou podporovat rovněž.

Stačí se rozhlédnout, jak se JSON často používá dnes a slova termínům "bezpečnostní díra" nebo "koledování si o problém" se prostě nelze vyhnout.