{"id":13149,"date":"2026-09-24T12:45:00","date_gmt":"2026-09-24T10:45:00","guid":{"rendered":"https:\/\/www.lukaswojcik.com\/blog\/?p=13149"},"modified":"2026-11-04T22:47:46","modified_gmt":"2026-11-04T21:47:46","slug":"tutorial-ein-json-prufen-bevor-es-in-ein-tag-wandert","status":"publish","type":"post","link":"https:\/\/www.lukaswojcik.com\/blog\/de\/web-entwicklung\/tutorials-de-web-entwicklung\/tutorial-ein-json-prufen-bevor-es-in-ein-tag-wandert\/","title":{"rendered":"Tutorial: Ein JSON pr\u00fcfen, bevor es in ein Tag wandert"},"content":{"rendered":"

Eine JSON-Nutzlast kann syntaktisch g\u00fcltig sein und trotzdem den falschen Wert \u00fcbertragen. Drei getrennte Pr\u00fcfungen helfen: den Originaltext parsen, Risiken beim Datenaustausch erkennen und die Regeln der empfangenden Anwendung pr\u00fcfen. Formatieren allein deckt diese Aufgaben nicht vollst\u00e4ndig ab.<\/p>\n

Die folgenden Beispiele laufen lokal. Der Pr\u00fcfer akzeptiert genau einen JSON-Wert, weist doppelte Objektnamen zur\u00fcck und erh\u00e4lt Dezimalwerte ohne vorherige Umwandlung in bin\u00e4re Gleitkommazahlen. Ein Tag-Manager oder Analysedienst wird dabei nicht angesprochen.<\/p>\n

\"Vier
Vier Stufen der JSON-Pr\u00fcfung<\/figcaption><\/figure>\n

Mit dem tats\u00e4chlichen JSON-Text beginnen<\/h2>\n

JSON ist ein Datenformat, kein ausf\u00fchrbares JavaScript. Objektnamen und Zeichenketten ben\u00f6tigen doppelte Anf\u00fchrungszeichen. Kommentare, abschlie\u00dfende Kommas, undefined, NaN und Infinity geh\u00f6ren nicht zur JSON-Grammatik. Die Wertkategorien sind Objekt, Array, Zeichenkette, Zahl, Wahrheitswert und null. Ein Dokument darf auch nur aus einem einzelnen Wert wie false oder 42 bestehen. Datums- und Kennungsformate geh\u00f6ren zum Anwendungsschema.<\/p>\n

Ein Apostroph innerhalb einer doppelt eingerahmten Zeichenkette ist g\u00fcltig. Ein ungesch\u00fctzter Zeilenumbruch innerhalb der Zeichenkette ist ung\u00fcltig; die Escape-Sequenz \\n<\/code> stellt einen Umbruch dar. Parser erzeugen unterschiedliche Fehlermeldungen. Eine feste Anzahl \u201elauter\u201c und \u201estiller\u201c Fehler hilft deshalb wenig.<\/p>\n

Vor dem Formatieren bleibt die urspr\u00fcngliche Antwort oder Datei erhalten. Ein Formatierer kann fehlerhaftes JSON ablehnen, doppelte Namen verwerfen oder Zahlen anders darstellen. Ein Fehler an Position null kann durch eine Byte-Reihenfolge-Marke, HTML statt JSON, eine leere Eingabe oder ein anderes unerwartetes Anfangszeichen entstehen. Die Position allein beweist keine BOM.<\/p>\n

Doppelte Namen vor dem Informationsverlust ablehnen<\/h2>\n

RFC 8259 empfiehlt eindeutige Namen innerhalb jedes Objekts. Empf\u00e4nger behandeln Doppelungen unterschiedlich: H\u00e4ufig bleibt der letzte Wert erhalten, m\u00f6glich sind aber auch Ablehnung oder Weitergabe aller Paare. Nach der Umwandlung in ein gew\u00f6hnliches Dictionary kann der verworfene Wert bereits fehlen.<\/p>\n

{\"a\":{\"x\":1},\"a\":{\"y\":2}}<\/code> wiederholt beispielsweise den Namen a, obwohl sich die Pfade zu den Endwerten, a.x und a.y, unterscheiden. Eine Suche nach mehrfachen Blattpfaden eines Streaming-Parsers erkennt diesen Fall nicht zuverl\u00e4ssig. Derselbe Name in zwei getrennten Objekten ist dagegen keine Doppelung innerhalb eines Objekts. Der Pr\u00fcfer verwendet Pythons object_pairs_hook<\/code> vor dem Aufbau jedes Dictionarys, auch bei verschachtelten Objekten und maskierten Namen.<\/p>\n

Kennungen passend zum Empf\u00e4ngerschema erhalten<\/h2>\n

JavaScripts Number verwendet bin\u00e4re Gleitkommazahlen. Jede ganze Zahl im geschlossenen Bereich von \u2212(2^53\u22121) bis 2^53\u22121 ist sicher darstellbar. Au\u00dferhalb sind einzelne ganze Zahlen weiterhin darstellbar, aber nicht mehr alle benachbarten Werte unterscheidbar. Das folgende Node.js-Beispiel zeigt eine ver\u00e4nderte letzte Ziffer.<\/p>\n

const parsed = JSON.parse('{"id":9007199254740993}');\nconsole.log(parsed.id); \/\/ 9007199254740992\nconsole.log(Number.isSafeInteger(parsed.id)); \/\/ false\nconst exact = JSON.parse('{"id":"9007199254740993"}');\nconsole.log(exact.id); \/\/ "9007199254740993" as a string\n<\/code><\/pre>\n
Eine Zeichenkette erh\u00e4lt diese Kennung, wenn die empfangende API Zeichenketten erlaubt. Verlangt die API eine Zahl, gelten deren dokumentierte Darstellung und Grenzen. Jede Kennung bedingungslos in Text umzuwandeln kann eine g\u00fcltige Anfrage ung\u00fcltig machen. Ein regul\u00e4rer Ausdruck zum Z\u00e4hlen von Ziffern ist keine vollst\u00e4ndige Genauigkeitspr\u00fcfung: Negative Werte und Exponenten k\u00f6nnen fehlen, Zahlenzeichenketten mit Zahlen verwechselt werden.<\/p>\n
Ein lokaler Pr\u00fcfer mit klaren Zusatzregeln<\/h2>\n
Die Datei ben\u00f6tigt nur die Python-Standardbibliothek. Nach dem Speichern als check_json.py<\/code> lautet der Aufruf python3 check_json.py payload.json<\/code>. R\u00fcckgabecode 0 bedeutet bestandene lokale Pr\u00fcfungen, R\u00fcckgabecode 1 eine Ablehnung. Der Dateiinhalt wird nicht ausgegeben.<\/p>\n
import json\nimport sys\nfrom decimal import Decimal, InvalidOperation\nfrom pathlib import Path\n\nMAX_BYTES = 1_048_576  # Local example policy, not a JSON limit.\n\ndef unique_object(pairs):\n    result = {}\n    for key, value in pairs:\n        if key in result:\n            raise ValueError("duplicate object member")\n        result[key] = value\n    return result\n\ndef reject_constant(value):\n    raise ValueError("non-JSON numeric constant")\n\ndef check(raw):\n    if len(raw) > MAX_BYTES:\n        raise ValueError("example size limit exceeded")\n    # Strict UTF-8; this example also rejects a leading BOM.\n    text = raw.decode("utf-8")\n    if text.startswith("\\ufeff"):\n        raise ValueError("leading BOM rejected by local policy")\n    value = json.loads(text, object_pairs_hook=unique_object,\n                       parse_float=Decimal, parse_constant=reject_constant)\n    # Reject lone UTF-16 surrogates for interoperable Unicode text.\n    def visit(x):\n        if isinstance(x, str):\n            x.encode("utf-8")\n        elif isinstance(x, dict):\n            for key, item in x.items():\n                visit(key)\n                visit(item)\n        elif isinstance(x, list):\n            for item in x:\n                visit(item)\n    visit(value)\n    return value\n\nif __name__ == "__main__":\n    if len(sys.argv) != 2:\n        raise SystemExit("Usage: python3 check_json.py payload.json")\n    try:\n        with Path(sys.argv[1]).open("rb") as stream:\n            raw = stream.read(MAX_BYTES + 1)\n        check(raw)\n    except json.JSONDecodeError as exc:\n        print(f"Syntax error: line {exc.lineno}, column {exc.colno}",\n              file=sys.stderr)\n        raise SystemExit(1)\n    except (OSError, ValueError, UnicodeError, RecursionError,\n            InvalidOperation, OverflowError):\n        print("Rejected: encoding, duplicate, value or resource policy",\n              file=sys.stderr)\n        raise SystemExit(1)\n    print("OK: JSON plus the example's interoperability checks")\n<\/code><\/pre>\n
Die Grenze von einem Mebibyte, die Ablehnung einer f\u00fchrenden BOM und die Ablehnung einzelner Surrogatzeichen sind ausdr\u00fccklich zus\u00e4tzliche Regeln f\u00fcr Datenaustausch und Ressourcenverbrauch. Nicht jede dadurch abgelehnte Eingabe verletzt die JSON-Grammatik. Auch der Parser besitzt Implementierungsgrenzen. Das Beispiel ist kein vollst\u00e4ndiger Schutz vor sch\u00e4dlichen Eingaben.<\/p>\n
Pythons Standarddecoder akzeptiert NaN und Infinity als Erweiterungen; parse_constant<\/code> verhindert das hier. Decimal<\/code> erh\u00e4lt dezimale Eingaben f\u00fcr die Pr\u00fcfung, ganze Zahlen bleiben Python-Ganzzahlen. Beides beweist nicht, dass ein sp\u00e4terer JavaScript-Empf\u00e4nger oder eine externe API denselben Wert darstellen kann.<\/p>\n
Fehlermeldungen am Original lesen<\/h2>\n
Python liefert bei einem Syntaxfehler Zeile und Spalte. JavaScript-Fehlermeldungen unterscheiden sich nach Engine und Version. Das Herauslesen eines englischen Wortes \u201eposition\u201c ist keine portable Schnittstelle. Zeichenpositionen, UTF-16-Codeeinheiten und Bytepositionen d\u00fcrfen nicht vermischt werden. Tabulatoren und Umbr\u00fcche machen auch eine selbst gesetzte Fehlermarkierung mit dem Zeichen ^ unzuverl\u00e4ssig.<\/p>\n
Die lokale Sichtung rund um die urspr\u00fcngliche Fehlerstelle hilft. Produktionsprotokolle sollten keine vollst\u00e4ndigen Nutzlasten mit personenbezogenen Daten oder Zugangsdaten ausgeben. Die Syntaxmeldung zeigt die Stelle des Parserabbruchs; der eigentliche Fehler kann davor liegen.<\/p>\n
Was jq belegt und was nicht<\/h2>\n
jq -e .<\/code> ist keine reine G\u00fcltigkeitspr\u00fcfung: Die g\u00fcltigen Werte false und null erzeugen einen R\u00fcckgabecode ungleich null. jq liest \u00fcblicherweise au\u00dferdem einen Strom von JSON-Werten. Eine erfolgreiche Verarbeitung beweist deshalb nicht genau ein Dokument. Leere Eingaben und Erweiterungen ben\u00f6tigen ausdr\u00fcckliche Regeln. Der Python-Pr\u00fcfer oben legt diese Regeln offen.<\/p>\n
Das Zahlenverhalten h\u00e4ngt von jq-Version und Build-Optionen ab. Das Erhalten eines Zahlenliterals und die Umwandlung bei Rechenoperationen sind verschiedene Dinge. Eine pauschale Garantie f\u00fcr jede Ausgabe seit Version 1.7 ist falsch. F\u00fcr Genauigkeitspr\u00fcfungen ersetzt eine formatierte Kopie nicht das Original.<\/p>\n
Danach den Vertrag des Tags oder der API pr\u00fcfen<\/h2>\n
Eine bestandene lokale Pr\u00fcfung best\u00e4tigt weder Pflichtfelder noch Ereignisnamen, W\u00e4hrung, Datumsformat oder Gesch\u00e4ftsregeln. Die erzeugte Nutzlast braucht zus\u00e4tzlich das Schema und die dokumentierten Diagnosewerkzeuge der empfangenden Plattform. Antworten und Verarbeitungsergebnisse m\u00fcssen ebenfalls beobachtet werden. Ein HTTP-Status allein belegt unter Umst\u00e4nden keine richtigen nachgelagerten Daten.<\/p>\n
Bei JSON-LD wird die ausgelieferte Seite zusammen mit dem jeweiligen Typ strukturierter Daten gepr\u00fcft. Ein besch\u00e4digter Block beweist nicht, dass s\u00e4mtliche anderen Bl\u00f6cke unlesbar sind. G\u00fcltige Syntax garantiert auch keine erweiterten Suchergebnisse. Bei Tag-Vorlagen sind Importpr\u00fcfung und Laufzeitverhalten getrennte Aufgaben; der Fehlerzeitpunkt h\u00e4ngt vom tats\u00e4chlichen Format und der Plattform ab.<\/p>\n
\n
Fragen und Antworten<\/h2>\n
Wie verh\u00e4lt sich JSON.parse im Browser bei doppelten Namen?<\/h3>\n
Es meldet keinen Fehler und beh\u00e4lt den letzten Wert. Aus {\"a\":1,\"a\":2}<\/code> wird ein Objekt mit a = 2, und nichts im Ergebnis zeigt, dass es einen ersten Wert gab. Ein Tag, das die Nutzlast im Browser liest, sieht die Doppelung also nie; deshalb lohnt die Pr\u00fcfung am Originaltext vor dem Parsen.<\/p>\n
Welche Werte ver\u00e4ndert JSON.stringify beim Erzeugen einer Nutzlast stillschweigend?<\/h3>\n
Mehrere, und nur in einem Fall entsteht ein Fehler. Code, der eine Nutzlast in JavaScript zusammenbaut, etwa in einer benutzerdefinierten Variablen, kann auf diese F\u00e4lle treffen:<\/p>\n