不需要其他模块。 只使用 var parsedObj = JSON.parse(yourObj); 我不认为这有任何安全问题

您可以要求.json文件。

var parsedJSON = require('./file-name');

例如，如果你有一个配置。Json文件在相同的目录作为你的源代码文件，你会使用:

var config = require('./config.json');

或(文件扩展名可以省略):

var config = require('./config');

注意require是同步的，只读取文件一次，后续调用从缓存返回结果

还要注意，您应该只对完全控制下的本地文件使用此选项，因为它可能会执行文件中的任何代码。

为了安全起见，用这个吧

var data = JSON.parse(Buffer.concat(arr).toString());

正如这里提到的其他答案，你可能想要一个本地json文件，你知道是安全的，就像一个配置文件:

var objectFromRequire = require('path/to/my/config.json'); 

或者使用全局JSON对象将字符串值解析为对象:

var stringContainingJson = '\"json that is obtained from somewhere\"';
var objectFromParse = JSON.parse(stringContainingJson);

请注意，当您需要一个文件时，该文件的内容会被评估，如果它不是json文件而是js文件，则会引入安全风险。

在这里，我发布了一个演示，你可以看到这两种方法，并在线使用它们(解析示例在app.js文件中-然后点击运行按钮，在终端中看到结果): http://staging1.codefresh.io/labs/api/env/json-parse-example

您可以修改代码并查看影响…

由于您不知道您的字符串实际上是有效的，因此我将首先将它放入try catch中。另外，由于try catch块不是按节点优化的，我将把整个事情放在另一个函数中:

function tryParseJson(str) {
    try {
        return JSON.parse(str);
    } catch (ex) {
        return null;
    }
}

“异步风格”的OR

function tryParseJson(str, callback) {
    process.nextTick(function () {
      try {
          callback(null, JSON.parse(str));
      } catch (ex) {
          callback(ex)
      }
    })
}

如果你需要用Node.js以一种安全的方式解析JSON(也就是说:用户可以输入数据，或者一个公共API)，我建议使用secure- JSON -parse。

其用法类似于默认的JSON。解析，但它会保护你的代码:

原型中毒 和构造函数滥用:

const badJson = '{ "a": 5, "b": 6, "__proto__": { "x": 7 }, "constructor": {"prototype": {"bar": "baz"} } }'

const infected = JSON.parse(badJson)
console.log(infected.x) // print undefined

const x = Object.assign({}, infected)
console.log(x.x) // print 7

const sjson = require('secure-json-parse')
console.log(sjson.parse(badJson)) // it will throw by default, you can ignore malicious data also