通过不断 google + 实验，我觉得我得到了答案。

首先， response header 内的 content_type 仅仅只是表明响应数据是怎样的数据，并不会自动去解析成 JSON 对象 （注: 有浏览器原生 JSON 对象，其他的都为语言的对象）。

比如原生 AJAX ，拿到该响应，仅仅只是 string 。 而 jQuery 则会根据 content_type 去将响应解析成对应的格式

至于浏览器开发者工具，你看到的 JSON 对象，是浏览器开发者工具为了方便我们开发，自己将它解析成了对应的格式。

接着，当你在服务手动创建：
```ruby
# Rails
render text: '{"a": "a"}', content_type: "application/json"
```

此时你在浏览器就会看到问题内的第一种情况，也即正常情况。 浏览器会根据 content_type 将他解析

```ruby
# Rails
render json: { a: 'a' }
```
此时， Rails 会自动将他序列化成字符串（即跟手动创建字符串没两样），然后进行传输。

那么，问题第二种情况是怎样的呢？如果服务器仅仅只是返回 JSON 字符串的话，那么肯定也是会自动解析的呀。答案在于服务器的开发人员傻了。

```ruby
# 正常情况
'{"a": "a"}'

# 而开发人员由于某种原因，将 json 字符串又序列化了一遍
# 类似于这种效果
JSON.stringify(JSON.stringify(jsonObejct))

# 因此最终服务器返回的字符串其实是：
"\"{\\\"a\\\": \\\"a\\\"\}\""

# 浏览器拿到的字符串解析后是：
"{\"a\": \"a\"}"

```

@sensui7 感谢，不过我有个疑问，客户端是如何知道这个这个字符串是 json 编码并且进行反序列化呢？。 因为第二种 json 字符串，也符合 json 规范，也是可以进行 parse 操作的呀？

唔，我想了下：

第一种，是因为服务器返回了 json 对象，并且服务器语言有相应的序列化 json 接口，在传输时会将 json 对象序列化，浏览器或语言 接收到该响应时，根据 content_type 去反序列解析响应，所以会直接拿到 json 对象。

第二种，是因为浏览器返回的就是 json 字符串，所以客户端拿到的响应当然仅仅只是字符串了。

不知道对不对呢？

@Halry 使用的是自带的 DP 线。

此时按显示器的电源键都没反应

@KillPaul

如果你曾经使用过 91 助手， PP 助手 等软件，那么他们就可以根据你的序列号拿到你的账户了。（这个就不知道是 PP 助手主动提供的，还是他们利用漏洞了）

拿到你的账户之后就有以下方法拿到你的密码：

1 、社工 （所谓的钓鱼网站）
2 、通过密码库搜索你以前暴露的密码
3 、利用 XSS 漏洞，诱使你点击网站时 ooxx 你

谢谢大家啦~~~~~


帖子 OVER~

@a1058021348 求一个，(づ￣ 3 ￣)づ

觉得楼主是个 JAVA 工程师