JSON: ¿por qué se escapan las barras hacia adelante?

La especificación JSON dice que PUEDE escapar de la barra diagonal, pero no tiene que hacerlo.

Hice la misma pregunta hace algún tiempo y tuve que responderla yo mismo. Esto es lo que se me ocurrió:

Parece, mi primer pensamiento [que proviene de su JavaScript raíces] era correcto.

'\/' === '/' en JavaScript, y JSON es JavaScript válido. Obstante, ¿por qué los otros escapes ignorados (como \z) no están permitidos en JSON?

La clave para esto era leer http://www.cs.tut.fi / ~jkorpela/www/revsol.html , seguido de http://www.w3.org/TR/html4/appendix/notes.html#h-B.3.2. La característica de el escape de barra diagonal permite que JSON se incruste en HTML (como SGML) y XML.

Ugly PHP!

El JSON_UNESCAPED_UNICODE|JSON_UNESCAPED_SLASHES debe ser predeterminado, no una opción (extraña)... ¿Cómo decirlo a los desarrolladores de php?

El predeterminado DEBE ser el uso más frecuente, y los estándares (actuales) más utilizados como UTF8. ¿Cuántos fragmentos de código PHP en el Github u otro lugar necesitan esta característica exoctica "incrustada en HTML"?

PHP escapa de las barras inclinadas hacia adelante por defecto que es probablemente la razón por la que esto aparece tan comúnmente. No estoy seguro de por qué, pero posiblemente porque incrustar la cadena "</script>" dentro de una etiqueta <script> se considera inseguro.

Esta funcionalidad se puede desactivar pasando el indicador JSON_UNESCAPED_SLASHES, pero la mayoría de los desarrolladores no lo usarán ya que el resultado original ya es un JSON válido.

Dado que JSON es por definición javascript, y en javascript por definición una sola barra invertida no puede estar presente en una cadena sin ser parte de un símbolo codificado especial (como newline), entonces es perfectamente lógico agregar un símbolo codificado especial adicional para una barra diagonal, porque esto facilita la tarea de prevenir ataques XSS TANTO que incluso podría agradecer a ese hombre genial que logró lograrlo con la inclusión de este (aparentemente) controversial hack en la especificación JSON. También podrían agregar los mismos símbolos especiales para los corchetes angulares, pero parece que no es necesario hacerlo porque con la barra diagonal neutralizada no es más hostil y pueden lanzar tantos corchetes angulares al código como quieran, simplemente no permitirá que ningún XSS loco tenga éxito.