Angular请求含UNION/SELECT字段值时触发Http解析失败问题咨询

• Angular应用内发起REST API调用时请求异常，抛出错误：Http failure during parsing for MY_REST_URL
• 异常触发条件固定：仅当请求payload的字段值包含UNION或SELECT关键字时稳定复现，例如传入{"name" : "bob", "lastName":"UNION"}作为请求体时必现报错
• 将字段值内的UNION/SELECT替换为其他任意内容后，接口可正常返回响应，无任何报错

该报错并非Angular框架本身的JSON解析逻辑故障，实际是请求被链路中的安全防护规则拦截导致：

UNION、SELECT是SQL注入攻击的典型特征关键字，WAF、Web服务框架自带的默认SQL注入防护规则，会直接识别并拦截请求参数、请求体中携带这些关键字的请求，不会返回接口约定的JSON格式响应，通常会返回HTML格式的拦截提示页、纯文本形式的403拒绝信息。
Angular内置的HttpClient默认会将所有响应当JSON格式做解析，当拿到上述非JSON格式的拦截响应时，就会抛出解析失败的错误，表象容易误导开发者认为是前端解析逻辑故障。

• 先确认拦截来源：打开浏览器开发者工具的Network面板，定位到触发报错的请求，查看其实际响应状态码（绝大多数场景为403 Forbidden）和响应正文，即可看到明确的拦截提示信息
• 安全规则适配：如果业务场景确实允许用户在对应字段输入这类关键字（例如姓名、备注类字段需要录入相关内容），不要全局关闭SQL注入防护，需针对对应接口、对应字段配置规则白名单，同时后端必须对所有数据库操作做参数预编译处理，从根源规避SQL注入风险
• 前端快速验证方法：如果需要快速确认问题原因，可临时将对应请求的响应类型设置为text，绕过Angular默认的JSON解析逻辑，直接查看拦截返回的原始内容，参考代码：

this.http.post('YOUR_REST_API_URL', requestPayload, { responseType: 'text' })
  .subscribe(rawResponse => {
    console.log('接口原始响应：', rawResponse)
  })

内容的提问来源于stack exchange，提问作者Amine