<think>我们正在讨论的是在JSP中使用`<% ... %>`脚本
标签时如何处理
转义字符的问题。用户之前的问题是关于JSP表格中下拉菜单的实现，但当前问题已转向JSP脚本
标签和
转义字符处理。
关键点：
1. 用户想在JSP中使用`<% ... %>`引入
标签（可能是指引入Java代码或
标签库）并处理
转义字符。
2. 需要正确处理
转义字符，例如在输出到
HTML时避免XSS攻击，或者正确显示特殊字符。
解决方案：
在JSP中，使用脚本
标签`<% ... %>`时，我们可能会输出一些动态内容，这些内容可能包含
HTML特殊字符（如<, >, &, ", '等）。为了在
HTML中正确显示这些字符（而不是被浏览器解析为
HTML标签），我们需要进行
转义。
有两种常见方式：
1. 使用JSTL的`<c:out>`
标签，它默认会进行XML
转义（即
转义HTML特殊字符）。
2. 使用Java代码进行
转义（例如使用Apache Commons Lang的StringEscapeUtils，或者自己写
转义方法）。
但是，请注意：在脚本
标签中直接输出内容通常使用`out.print()`，我们可以在这之前对字符串进行
转义。
步骤：
方法一：在脚本
标签内使用
转义函数（如果项目允许使用第三方库，可以引入Apache Commons Lang）
首先，确保将Apache Commons Lang库添加到项目中（如commons-lang3-3.12.0.jar）。
在JSP顶部导入相关类：
```jsp
<%@ page import="org.apache.commons.lang3.StringEscapeUtils" %>
```
然后在需要输出的地方：
```jsp
<%
String userInput = "<script>alert('xss')</script>";
String safeOutput = StringEscapeUtils.escape
Html4(userInput);
out.print(safeOutput);
%>
```
方法二：如果不使用第三方库，可以自己写一个
转义方法（简单示例）：
```jsp
<%!
// 在声明中写一个
转义HTML的方法
public String escape
Html(String input) {
if (input == null) {
return null;
}
return input.replaceAll("&", "&")
.replaceAll("<", "<")
.replaceAll(">", ">")
.replaceAll("\"", """)
.replaceAll("'", "'");
}
%>
<%
String userInput = "<script>alert('xss')</script>";
out.print(escape
Html(userInput));
%>
```
方法三：使用JSTL（推荐，因为JSTL更安全且易于维护）
虽然用户要求使用`<% ... %>`，但通常我们建议避免使用脚本
标签，而使用JSTL。如果用户坚持使用脚本
标签，那么方法一或二。但如果可以，尽量使用JSTL。
使用JSTL的例子：
```jsp
<%@ taglib prefix="c" uri="http://java.sun.com/jsp/jstl/core" %>
<c:out value="${userInput}" default="默认值" />
```
注意：`<c:out>`默认会进行
转义，如果不想
转义，可以设置`escapeXml="false"`，但这样有XSS风险。
关于用户的问题中“引入
标签”的理解：
用户可能是指引入JSP
标签（如JSTL
标签）时，在脚本
标签中如何输出？通常，我们不会在脚本
标签中嵌套JSTL
标签，因为脚本
标签是Java代码，而JSTL是
标签。所以，如果用户需要在脚本
标签中输出内容，那么应该使用上述方法一或二进行
转义。
另外，如果用户是在脚本
标签中生成
HTML标签字符串，然后输出，那么同样需要
转义动态内容部分（静态
HTML标签不需要
转义，但动态插入的数据需要）。
总结：
在JSP脚本
标签中输出动态内容时，为了安全显示（防止XSS和保证正确显示），必须对内容中的
HTML特殊字符进行
转义。可以使用第三方库（如Apache Commons Lang）或自定义
转义方法，或者改用JSTL的`<c:out>`
标签。
注意：在JSP2.0及以上，默认支持EL表达式，可以直接使用`${}`，并且EL表达式在输出时默认不会
转义。为了安全，建议在EL表达式中使用`<c:out>`进行输出，或者使用JSP2.1及以上的版本，可以通过在web.xml中配置来开启EL表达式的
转义功能（但默认不开启）。
在web.xml中配置全局
转义：
```xml
<jsp-config>
<jsp-property-group>
<url-pattern>*.jsp</url-pattern>
<el-ignored>false</el-ignored>
<escape-xml>true</escape-xml> <!-- 开启EL表达式默认
转义 -->
</jsp-property-group>
</jsp-config>
```
但是，这个配置只对EL表达式有效，即`${}`会进行
转义。而脚本
标签中的输出不受此配置影响。
因此，我们推荐：
1. 尽量避免使用脚本
标签（使用JSTL和EL）。
2. 如果必须使用脚本
标签，则显式
转义输出内容。
相关问题：
根据用户的问题，生成以下相关问题：
1. 如何在JSP中避免XSS攻击？
2. JSTL的`<c:out>`
标签和EL表达式在输出时有什么区别？
3. 在JSP中，如何配置全局的
转义设置？</think>### JSP中使用`<%`引入
标签时处理
转义字符的方法
在JSP中使用`<%`脚本
标签时，正确处理
转义字符需要结合**
HTML实体编码**和**JSP表达式
标签**，以下是具体解决方案：
---
#### 1. **基础
转义方法**
使用`<%= %>`输出表达式时，手动处理特殊字符：
```jsp
<%
String userInput = "<script>alert('XSS')</script>";
//
转义关键字符
String safeOutput = userInput
.replace("&", "&")
.replace("<", "<")
.replace(">", ">")
.replace("\"", """)
.replace("'", "'");
%>
<!-- 安全输出 -->
<%= safeOutput %>
```
---
#### 2. **使用JSTL核心
标签（推荐）**
通过JSTL的`<c:out>`自动处理
转义：
```jsp
<%@ taglib prefix="c" uri="http://java.sun.com/jsp/jstl/core" %>
<%
String rawData = "User's input: <b>Hello</b>";
pageContext.setAttribute("rawData", rawData);
%>
<!-- 自动
转义 -->
<c:out value="${rawData}" default="No data"/>
<!-- 禁用
转义（慎用） -->
<c:out value="${rawData}" escapeXml="false"/>
```
> **说明**：
> - `escapeXml="true"`（默认）会
转义`< > & ' "`
> - 优先使用此方法，避免手动处理错误[^1]
---
#### 3. **EL函数自定义
转义**
创建自定义EL函数处理复杂场景：
1. **创建
转义工具类**：
```java
// EscapeUtil.java
public class EscapeUtil {
public static String escape
Html(String input) {
return StringEscapeUtils.escape
Html4(input); // 使用commons-text
}
}
```
2. **TLD文件注册函数**：
```xml
<!-- WEB-INF/escape.tld -->
<function>
<name>escape
Html</name>
<function-class>com.util.EscapeUtil</function-class>
<function-signature>
java.lang.String escape
Html(java.lang.String)
</function-signature>
</function>
```
3. **JSP中使用**：
```jsp
<%@ taglib prefix="my" uri="/WEB-INF/escape.tld" %>
<%= "Raw: <div>" %> <!-- 危险：未
转义 -->
${my:escape
Html(userContent)} <!-- 安全输出 -->
```
---
#### 4. **特殊场景处理**
| 场景 | 解决方案 |
|--------------------|--------------------------------------------------------------------------|
| **JSON输出** | 使用`org.json.JSONObject.quote()`进行
转义 |
| **JavaScript嵌入** | 用`\xHH`十六进制编码：`<%="\u003cscript\u003e".replace("<","\\u003c")%>` |
| **URL参数** | 用`java.net.URLEncoder.encode("str","UTF-8")` |
| **SQL注入防护** | 始终使用`PreparedStatement`，非
转义解决 |
---
#### 5. **最佳实践总结**
1. **优先选择JSTL**：`<c:out>`是最安全简洁的方式
2. **避免内联脚本**：尽量将业务逻辑移至Servlet或工具类
3. **三层防御体系**：
```mermaid
graph LR
A[输入过滤] --> B[业务处理]
B --> C[输出
转义]
C --> D[内容安全策略 CSP]
```
4. **依赖库推荐**：
- Apache Commons Text: `StringEscapeUtils`
- OWASP Java Encoder: `Encoder.for
Html(content)`
- Spring
HtmlUtils: `
HtmlUtils.
htmlEscape()`
> **关键原则**：始终在**最终输出点**进行
转义，而非在数据存储阶段[^2]
解决UEditor HTML标记转义问题
扫一扫
297
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
