При отсылке JSON нужно ставить mime-тип application/json

При отсылке JSON нужно ставить mime-тип application/json, а не text/plain.

Уязвимости, которые возникают при использовании text/plain, описаны здесь и здесь.

Пример кода сервлета, устанавливающего mime и кодировку:

request.setContentType("application/json; charset=UTF-8");
PrintWriter out = response.getWriter();
out.println("{any complex JSON piece of data}");
....