線上 JSON 格式化安全嗎？點解要唔上傳
將一段 JSON 貼去隨便一個「美化／格式化」網站，感覺好無害 —— 直到嗰段內容入面有 API key、session token，或者客戶資料。呢篇講清楚伺服器端 formatter 嘅私隱風險、2025 年研究發現咗咩，同埋點樣喺瀏覽器入面格式化、唔上傳。
點解「淨係排版」都有風險
好多線上 JSON 工具會將你貼上嘅文字送到伺服器，或者喺你撳 **Save／Share** 之後存低。就算介面得一個文字框，你通常都證明唔到：
如果你嘅 JSON 來自 production log、webhook，或者 config dump，將貼上框當記事本用，係安全問題。
2025 年研究講咗咩
2025 年，watchTowr 等安全研究人員檢查咗一啲好受歡迎嘅 code formatting 網站（包括 JSONFormatter、CodeBeautify）。佢哋證明：**已儲存**嘅提交可以透過公開嘅「Recent Links」類介面同可預測 URL 大量取回 —— 唔係因為破解咗加密，而係用戶將秘密貼去會保留內容嘅工具。
後續報道描述咗數以萬計嘅已存 paste，入面有憑證、API key、private key、雲端 token 同個人資料。重點好直接：**只要工具可以 save／share 你嘅內容，就要假設之後可能有人睇到。**
你唔使記住每個產品名。風險類型係一樣：只要格式化要上傳，或者要「儲低稍後睇」，就有呢類暴露面。
人哋不小心會貼啲咩
日常工作嘅 JSON 好常見會有：
排版唔會洗走呢啲嘢。縮排唔會令 secret 變安全。
貼去任何線上工具之前嘅清單
私隱替代：喺瀏覽器格式化 JSON
JSONly 係 ToolBookly 嘅 JSON 格式化／驗證工具，喺瀏覽器執行：貼上、格式化、驗證、複製 —— **唔使為咗排版而上傳到 ToolBookly 伺服器處理**。
**典型流程：**
英文版：JSONly
幾時仍然可以用伺服器端工具
如果內容係公開 API 範例、教學用 JSON，或者完全假資料，伺服器端工具冇問題。一旦 payload 可能識別到人、開到系統、或者解鎖帳戶，就應該留喺本地。
總結
線上 JSON formatter 好方便 —— 而呢份方便已經令一啲機構因為 paste 被保留同暴露而流失真實憑證。如果你要美化／驗證可能含 secret 嘅 JSON，用**瀏覽器端**工具。
想 **pretty print、驗證或者 minify** 都唔上傳？睇 線上 Pretty Print／驗證 JSON 唔上傳。