JSON仅支持6种标准转义序列，开发者应始终使用JSON.parse()/JSON.stringify()处理数据，避免手动拼接字符串，确保输入合法并校验Unicode及不可见字符。
JSON 本身只支持有限的转义序列，JavaScript 中处理 JSON 数据时的“特殊字符问题”，其实多数不是 JSON 的错，而是开发者在字符串拼接、手动构造 JSON、或未正确使用 JSON.parse()/JSON.stringify() 导致的。关键在于：**永远用标准 API 处理 JSON，避免手写或字符串拼接**。
JSON 合法转义只有 6 种
JSON 规范（RFC 8259）明确允许的转义序列只有：
-
"（双引号） -
\（反斜杠） -
/（正斜杠，可选，主要用于避免冲突） -
（退格） -
-
像 u00e9（Unicode）是合法的，但 、 、 等非标准转义在 JSON 中非法，会被 JSON.parse() 直接报错。
别手动拼接 JSON 字符串
这是最常见的陷阱来源。例如：
立即学习“Java免费学习笔记（深入）”；
Alibabacloud Sdk Client Initialization For Java
下载
在 Java 中初始化和管理阿里云 SDK客户端。包括单例模式、线程安全、endpoint 与 region 配置、VPC 终端节点、同步与异步等。
// ❌ 危险！可能引入非法字符或 XSS
const name = 'O'Reilly & "JS"';
const jsonStr = `{"name": "${name}"}`; // 会破坏结构或注入
正确做法始终用 JSON.stringify() 序列化原始数据：
// ✅ 安全可靠
const obj = { name: "O'Reilly & "JS"" };
const jsonStr = JSON.stringify(obj); // 自动转义引号、控制字符等
// → {"name":"O'Reilly & "JS""}
解析前确保字符串是合法 JSON
从服务端、URL 参数、localStorage 或用户输入拿到的字符串，不能直接 JSON.parse()。常见风险包括：
- 服务端返回 HTML 错误页（如 500 页面）混入 JSON 字段
- 字符串含 BOM（
ufeff）或不可见控制字符（如u0000） - 用户粘贴了带智能引号（“”）或长破折号（—）的文本，虽可显示但 JSON 不接受
建议加一层校验：
function safeParse(str) {
if (typeof str !== 'string') return null;
try {
return JSON.parse(str.trim());
} catch (e) {
console.warn('Invalid JSON:', e.message);
return null;
}
}
处理 Unicode 与不可见字符
中文、emoji、数学符号等 Unicode 字符本身完全合法，无需额外转义。但要注意：
- 某些老旧系统或日志工具可能无法正确显示或截断 UTF-8 多字节字符
-
u2028（行分隔符）和u2029（段落分隔符）在 JSON 中合法，但在 JavaScript 字符串字面量中会被视为换行，导致语法错误 ——JSON.stringify()会自动将其转义为u2028，而JSON.parse()能正确还原 - 若需在模板字符串或 HTML 中嵌入 JSON，用
JSON.stringify(value, null, 2)+textContent或innerHTML配合DOMPurify更安全
