Redis Lua脚本中无法直接使用cjson库，因其被沙箱硬限制禁用；需改用string.match/gsub字符串操作、客户端预处理JSON或RedisJSON模块配合JSON.GET/SET实现安全更新。
Redis Lua脚本里不能直接用cjson
Redis 内置 Lua 环境禁用了 cjson、json 等标准库，调用 require("cjson") 会报错 ERR Error running script (call to f_): @user_script: N: module 'cjson' not found。这不是配置问题，是沙箱硬限制——别试了。
所以任何「解析 JSON 字符串 → 修改字段 → 序列化回字符串」的逻辑，都得绕开通用解析器。常见做法有：
- 只支持固定结构 + 简单路径（如
$.user.id），用string.match()或string.gsub()做字符串级替换 - 把 JSON 操作逻辑前置：客户端先解析、改完、再序列化，Lua 脚本只做原子写入（即用
JSON.SET） - 若必须服务端解析，且 Redis 版本 ≥ 7.0 并启用了
redis-json模块，可用redis.call("JSON.GET", KEYS[1], "$")拿原始字符串，但后续仍无法在 Lua 中 decode
用 JSON.SET / JSON.GET 配合 Lua 实现局部更新
RedisJSON 模块的 JSON.SET 支持路径写入，但注意：它本身不保证「读-改-写」原子性。两个并发脚本同时执行 JSON.GET + JSON.SET，仍可能丢数据。
真正安全的做法是把三步压进一个 Lua 脚本，靠 Redis 单线程执行保障原子性：
- 用
redis.call("JSON.GET", KEYS[1], "$")拿完整 JSON 字符串（不是 table） - 若返回
nil，说明 key 不存在，需按业务逻辑初始化（比如返回默认对象） - 用字符串操作（如
string.gsub(str, '"age":%s*%d+', '"age": '.. ARGV[1])）替换目标字段值 - 最后用
redis.call("JSON.SET", KEYS[1], "$", new_json_str)全量写回
示例片段（仅适用于 age 是顶层字段）：
local raw = redis.call("JSON.GET", KEYS[1], "$")
if not raw then
raw = '{"age":0}'
end
local new_raw = string.gsub(raw, '"age":%s*%d+', '"age":' .. ARGV[1])
redis.call("JSON.SET", KEYS[1], "$", new_raw)
return 1
ARGV 传 JSON 字符串要防注入和空值
不要把用户输入拼进 Lua 脚本体，所有动态内容必须走 ARGV。但 ARGV 里的 JSON 字符串若含恶意内容（如未转义的双引号、控制字符），可能破坏后续 string.match 逻辑或引发解析歧义。
将一个或多个视频上传至YouTube。当用户想“上传到YouTube”“发YouTube”“批量上传”“upload to YouTube”“post videos to YouTube”或发布到YouTube时使用此技能。
安全处理建议：
- 服务端传参前，对 JSON 字符串做基础校验：
string.match(ARGV[1], '^{"[^"]*":') ~= nil（粗筛） - 避免在 Lua 中直接
loadstring或assert(loadstring(...))执行 ARGV 内容——这是严重漏洞 - 空值处理：Redis 客户端常把
None或null转为空字符串，Lua 中需写ARGV[1] ~= nil and ARGV[1] ~= ""双重判断 - 长度限制：过长 JSON 字符串可能被某些代理截断，建议单个
ARGV不超过 1MB
错误返回时别拼接用户输入的 JSON 片段
参数校验失败想返回结构化错误？可以，但严禁把 ARGV 中的原始字符串直接塞进错误消息，例如：return "ERR {\"msg\":\"" .. ARGV[1] .. "\"}" —— 这等于开放 JSON 注入入口。
正确做法是白名单过滤后拼接：
- 只允许字母、数字、下划线、短横线：
local safe_key = string.match(ARGV[1], "^[%w_-]+$") or "invalid" - 错误码用预定义常量：
"KEY_NOT_FOUND"，而非动态生成 - 返回格式统一为 JSON 片段：
return 'ERR {"code":"INVALID_ARG","field":"' .. safe_key .. '"}'
客户端收到后用自身语言的 JSON 解析器提取字段，Lua 层不参与解析——这层解耦最稳。
