C# ASP.NETでJsonをシリアライズ、または逆シリアライズするときのデフォルト値が1024000であることを最近知りました。
もちろん、このサイズをより大きい値に変更することで大きいjsonを扱うことができるのもわかりました。
しかし、なぜ1024000なのかを知りたいです。
セキュリティ的な観点での理由なのでしょうか。
いろいろと調べたのですが、どこにも書いていなかったので、この場でご教授いただけたらと思います。
よろしくお願いします。
スタック・オーバーフローはプログラマーとプログラミングに熱心な人のためのQ&Aサイトです。すぐ登録できます。
登録してこのコミュニティに参加する回答はpgrhoさんの通りです。
ご質問の「大きなJSON」というキーワードから、一緒に覚えておくべき物があるのでご紹介です。
MS11-100というセキュリティ更新で、aspnet:MaxHttpCollectionKeys
とaspnet:MaxJsonDeserializerMembers
という値がセキュリティ対策として追加されました。それぞれデフォルト値は1,000
です。
aspnet:MaxJsonDeserializerMembers
により、JSON内のキー・値のペアが1,000
個を超えるとリクエストを拒否するものです。巨大なJSONをPOSTするようなアプリケーションでは割りと遭遇してしまう値です。
さらに余談ですが、当時「ハッシュテーブルの衝突でDoS」は様々なプラットフォームで発生する凄い発見でした。