XHR请求与JSON与urlencoded：性能和安全性

我有xhr请求与数据像名字=约翰用户名= JohnTheGreat。 在这种情况下，我可以通过content-type发送一个xhr：application / x-www-form-urlencoded：

'name=John&username=JohnTheGreat' 

或者我可以使用content-type：application / json：

 '{"name"="John","username"="JohnTheGreat"}' 

在服务器端（我用express来使用nodejs服务器），对于这两种情况，我都使用body-parser来parsing数据。
1）哪两个parsing速度更快？ 我想这将是JSON，因为它显然只涉及string连接和eval，而urlencodedstring似乎意味着大量的string操作。
2）这两种情况哪一种更安全？ 一般来说，现代浏览器中的安全性问题是什么？ （例如，用户可以写一些脚本，当被分析的脚本将会被执行吗？）