怎样在Python中安全地解析JSON字符串为原生字典

陌磊君_9536

陌磊君_9536

2026-11-05

721人浏览

原创

JSONDecodeError根本原因是输入违反RFC 8259规范,常见于BOM头、控制字符、单引号、末尾逗号等;应先strip清洗、再用json.loads()解析,并严格try-except捕获JSONDecodeError,禁用ast.literal_eval()替代。

怎样在python中安全地解析json字符串为原生字典

遇到 json.loads() 报 JSONDecodeError 怎么办

直接用 json.loads() 解析不可信输入(比如用户提交、网络响应)必然踩坑。错误不是“没写 try-except”,而是没预判常见破坏点:BOM 头、控制字符、不合法 Unicode 转义、末尾逗号(Python 3.12+ 才支持)、单引号代替双引号。

安全做法是先做轻量清洗,再解析:

  • 用 string.strip() 去首尾空白(含 BOM)
  • 对已知来源含单引号的场景,可谨慎替换 ' → ",但必须确保无嵌套引号或转义干扰(比如 "{'name': \"O'Reilly\"}')
  • 用 re.sub(r'[\x00-\x08\x0b\x0c\x0e-\x1f]', '', s) 删掉 JSON 不允许的控制字符(\x09 制表符和 \x0a 换行符是合法的)
  • 始终包在 try/except json.JSONDecodeError: 里,不要捕获宽泛的 Exception

为什么不能用 ast.literal_eval() 替代 json.loads()

ast.literal_eval() 看似能解析类似 JSON 的字符串,但它接受 Python 字面量语法:允许 True/False/None、单引号字符串、无引号键(如 {key: 42}),而这些在标准 JSON 中非法。这会造成语义错位——你以为在解析 JSON,实际在执行 Python 字面量解析,可能绕过你对键名/值类型的预期校验。

更危险的是,某些服务端返回的“类 JSON”响应(如 Django 的 JsonResponse 严格输出标准 JSON),若前端误用 ast.literal_eval(),后续对接其他语言客户端时会因格式不一致出问题。

结论:ast.literal_eval() 是 Python 内部数据交换的工具,不是 JSON 解析器。坚持用 json.loads(),配合清洗和异常处理。

需要保留原始键顺序时,json.loads() 的 object_hook 怎么写

Python 3.7+ 的 dict 本身保持插入顺序,所以多数情况无需额外操作。但如果你要兼容旧版本,或需要把 key 全部转成小写、加前缀等,就得用 object_hook。

注意陷阱:object_hook 函数接收的是已解析的 dict(非原始字符串),且只作用于最外层及每个嵌套对象,不递归处理 list 中的 dict —— 它只在每次解析完一个 JSON 对象字面量时触发一次。

示例(转小写键):

Python Hardener
Python Hardener

通过完整的安全审查、代码整洁重构、健壮的错误处理、正确的日志记录以及完整的文档字符串覆盖,强化 Python 脚本。

下载
def lower_keys(d):
    return {k.lower(): v for k, v in d.items()}
<p>data = json.loads('{"Name": "Alice", "AGE": 30}', object_hook=lower_keys)</p><h1>→ {'name': 'Alice', 'age': 30}</h1><p></p>

如果 JSON 里有数组包含对象(如 [{"X": 1}, {"Y": 2}]),object_hook 仍会分别作用于每个 {"X": 1} 和 {"Y": 2},没问题;但它不会自动处理 list 本身。

从文件读取 JSON 时,编码和换行符怎么处理才不出错

常见错误是直接 open(path).read() 后丢给 json.loads(),忽略文件编码和行结束符。Windows 的 \r\n 在 JSON 中合法,但 UTF-8-BOM(\ufeff)会导致 JSONDecodeError: Expecting value。

正确方式是明确指定编码,并让 json.load() 直接处理文件对象:

  • 永远用 encoding='utf-8' 打开,即使你认为是 ASCII —— 避免系统 locale 影响
  • 优先用 json.load(f)(传 file object),而不是 json.loads(f.read());前者内部会处理 BOM,后者不会
  • 如果必须用 loads(),先用 codecs.BOM_UTF8 检查并切掉开头的 BOM 字节

没有万能编码检测。别依赖 chardet 自动猜 —— JSON 规范只允许 UTF-8/UTF-16/UTF-32,而绝大多数生产环境只应使用 UTF-8。

解析 JSON 的真正难点不在语法,而在你是否清楚输入来源的边界:它是不是真的 JSON?谁生成的?有没有中间代理篡改过?这些问题比选哪个函数重要得多。

Python免费学习笔记(深入):立即使用
在学习笔记中,你将探索 Python 的核心概念和高级技巧!

相关专题

更多
python打包成可执行文件
python打包成可执行文件

本专题为大家带来python打包成可执行文件相关的文章,大家可以免费的下载体验。

2023.07.20

1871

4

python能做什么
python能做什么

python能做的有:可用于开发基于控制台的应用程序、多媒体部分开发、用于开发基于Web的应用程序、使用python处理数据、系统编程等等。本专题为大家提供python相关的各种文章、以及下载和课程。

2023.07.25

5104

7

format在python中的用法
format在python中的用法

Python中的format是一种字符串格式化方法,用于将变量或值插入到字符串中的占位符位置。通过format方法,我们可以动态地构建字符串,使其包含不同值。php中文网给大家带来了相关的教程以及文章,欢迎大家前来阅读学习。

2023.07.31

1809

3

python教程
python教程

Python已成为一门网红语言,即使是在非编程开发者当中,也掀起了一股学习的热潮。本专题为大家带来python教程的相关文章,大家可以免费体验学习。

2023.08.03

30717

23

python环境变量的配置
python环境变量的配置

Python是一种流行的编程语言,被广泛用于软件开发、数据分析和科学计算等领域。在安装Python之后,我们需要配置环境变量,以便在任何位置都能够访问Python的可执行文件。php中文网给大家带来了相关的教程以及文章,欢迎大家前来学习阅读。

2023.08.04

3647

5

python eval
python eval

eval函数是Python中一个非常强大的函数,它可以将字符串作为Python代码进行执行,实现动态编程的效果。然而,由于其潜在的安全风险和性能问题,需要谨慎使用。php中文网给大家带来了相关的教程以及文章,欢迎大家前来学习阅读。

2023.08.04

3667

5

scratch和python区别
scratch和python区别

scratch和python的区别:1、scratch是一种专为初学者设计的图形化编程语言,python是一种文本编程语言;2、scratch使用的是基于积木的编程语法,python采用更加传统的文本编程语法等等。本专题为大家提供scratch和python相关的文章、下载、课程内容,供大家免费下载体验。

2023.08.11

1243

5

python合并两个列表
python合并两个列表

Python是一种强大的编程语言,具有许多方便的功能和工具。在Python中,有多种方法可以合并两个列表。php中文网给大家带来了相关的教程以及文章,欢迎大家前来学习阅读。

2023.08.10

616

4

python是前端还是后端
python是前端还是后端

Python属于前端也属于后端,其灵活性和丰富的生态系统使得开发人员能够在不同的领域中灵活运用。本专题为大家提供python相关的文章、下载、课程内容,供大家免费下载体验。

2023.08.11

2843

5

热门下载

更多
网站特效
/
网站源码
/
网站素材
/
前端模板

精品课程

更多
相关推荐
/
热门推荐
/
最新课程