JSONP 有什么缺点
本文涉及的产品
RDS MySQL DuckDB 分析主实例，集群系列 4核8GB
简介：
JSONP（JSON with Padding）是一种跨域数据交互协议，但它存在一些缺点：安全性较低，容易受到XSS攻击；只能使用GET请求，不支持其他HTTP方法；无法处理错误，请求失败时难以调试。
- 安全性问题
- 易受攻击：JSONP是通过
<script>标签来加载数据的，这使得它容易受到跨站脚本攻击（XSS）。因为服务器返回的数据会被当作JavaScript代码来执行，所以如果服务器被攻击者控制，返回恶意的JavaScript代码，那么这些代码就会在客户端浏览器中被执行。例如，攻击者可能会返回一段包含窃取用户信息（如登录凭证）的代码，从而对用户的隐私和安全造成严重威胁。
- 缺乏安全验证机制：与其他安全的跨域解决方案（如CORS）相比，JSONP没有内置的安全验证机制来确保数据来源的合法性和数据内容的安全性。它主要依赖于服务器端的正确配置和诚信，但在实际应用中，很难保证服务器不会被入侵或者配置错误。
- 功能局限性
- 只能使用GET请求：由于JSONP是利用
<script>标签的特性来实现跨域数据获取，而<script>标签只能发起GET请求，所以JSONP无法用于其他类型的请求（如POST、PUT、DELETE等）。在需要对服务器进行数据修改、删除等操作的场景下，JSONP就无法满足需求。例如，在一个需要向服务器提交用户表单数据进行更新的应用中，JSONP就不能用于这种POST请求。
- 不支持复杂的数据交互：JSONP主要用于简单的数据获取，对于需要进行复杂的双向数据交互（如实时数据推送、全双工通信）的场景，它的能力有限。例如，在一个实时聊天应用中，需要实时地发送和接收消息，JSONP无法有效地支持这种复杂的通信需求，因为它缺乏对这种通信方式的支持机制。
- 可维护性差
- 对服务器和客户端都有要求：JSONP的实现需要客户端和服务器端同时进行特殊的配置和处理。在客户端，需要定义全局函数来接收数据，并且要通过动态创建
<script>标签来发起请求；在服务器端，需要识别请求中的回调函数参数，并将数据包装成符合JSONP格式的内容返回。这种复杂的配置和处理方式，使得JSONP在代码的维护和更新方面比较困难。如果项目的规模较大或者涉及多个开发人员，那么理解和维护JSONP相关的代码会增加开发成本。
- 容易出错：由于JSONP的实现涉及到字符串拼接（在服务器端将数据包装成函数调用的形式）和动态脚本加载，这就增加了出现语法错误和逻辑错误的可能性。例如，在服务器端如果拼接函数调用的字符串时出现错误，或者在客户端定义的回调函数与服务器返回的格式不匹配，都会导致数据无法正确获取或者出现JavaScript错误。
