防止 XSS 并使用 c:out jsp 标签

Question

${book.description} 变量包含带有“\n”字符的文本，因此我将其替换为 html 标记以在 jsp 输出中保留新行（新段落行）。 但在这种情况下，存在执行 XSS 代码的危险。有没有办法使用 c:out jsp 标签并在文本中保留新行？如果我使用 c:out 进行输出，那么所有
都替换为 < br/>并且没有新行。

<c:set var="newline" value="<%= \"\n\" %>" />           
<p>${fn:replace(book.description, newline, "<br />")}</p>

Answer 1

您可能对JSTL Functions的其他功能感兴趣。

看看${fn:escapeXml(text)} 转义字符串中的XML 字符。这是Sample。

---

看看

<c:out value="value" [escapeXml="{true|false}"] [default="defaultValue"] />

阅读更多关于Core Tag Library的教程

---

编辑

解决方案 1

<c:set var="newline" value="\n" />
<c:set var="text" value="abc\nlmn\nxyz" /> 
${ fn:replace(text, newline,'</br>')}

解决方案 2

<c:set var="newline" value="\n" />
<c:set var="text" value="abc\nlmn\nxyz" /> 
<c:out value="${ fn:replace(text, newline,'</br>')}" escapeXml="false"/>

输出：

abc
lmn
xyz