Про один Error: Invalid JSON

Есть такая атака, XSSI — Cross-Site Script Inclusion. Злоумышленник на своем сайте вызывает какой-то js-файл с сайта-цели через тег <script>. Браузер автоматически прикрепляет куки пользователя к запросу, и если, например, этот скрипт ставит глобальную переменную, то атакующий потом может её прочитать и получить данные. Был ещё исторический случай, когда JSON-массивы перехватывали через переопределение конструктора массива.

Появились разные способы защиты:  данные в нескриптовом формате, проверка заголовков.

А Google добавляет в начало JSON-ответа мусорные символы )]}’, из-за которых скрипт должен падать. «Хорошие» клиенты при разборе JSON должны проверять это и отбрасывать первую строку. Другие случайно заметят ошибку и должны будут дорабатывать декодер тел)