API响应开头添加`for (;;);`的作用及原因是什么？

你会发现像Instagram这类平台的部分API响应开头会带上for (;;);前缀，比如请求https://www.instagram.com/coldplay/?__a=1时，返回内容是：

for (;;);{"__ar":1,"error":1357004,"errorSummary":"呃，好像有东西出错了","errorDescription":"请尝试关闭并重新打开您的浏览器窗口。","payload":null,"hsrp":{"hblp":{"consistency":{"rev":1007698095}}},"lid":"7245339430614877794"}

这种前缀是JSON劫持防护的手段，核心目的就是保障接口数据安全，具体原因如下：

• 阻断跨域数据窃取：如果接口直接返回纯JSON，恶意网站可以通过<script>标签加载该接口，利用JSON的语法特性（比如对象字面量会被当作JS代码执行），配合全局变量定义来窃取敏感数据。而for (;;);是一个无限循环，会让脚本执行直接卡住，无法解析后续的JSON内容。
• 限定合法处理方：自家前端在请求接口后，会先手动移除这个前缀再解析JSON，第三方站点很难轻易绕过这个处理步骤，只能拿到带前缀的无效内容。
• 避免意外执行：防止JSON内容被误当作JavaScript脚本执行，引发不必要的安全风险或逻辑错误。

内容的提问来源于stack exchange，提问作者Joseph