2013-04-11 14 views
6

bunu kullanmaktan JSTL HTML karakterleri kaçan önlemek için biliyorum: varsayılan olarak escapeXML yanlış yapmak için bir sayfa yönergesi var mı onu merak ediyorumJSTL escapeXML varsayılan

<c:out value="${my.value}" escapeXml="false" /> 

, bu yüzden bu konuda belirtin gerekmez belirli sayfa.

+1

Kullanıcı tarafından kontrol edilen girişi yeniden görüntülerken XSS saldırı deliklerine dikkat edin. – BalusC

cevap

14

escapeXml yanlış ayarlandığından, yukarıdaki HTML çıkışından çıkmıyor. Varsayılan olarak, escapeXml doğrudur ve <c:out> etiketi böylece HTML'den kaçar. Kaçmak istemiyorsanız <c:out> tek amacı HTML kaçmak olduğundan, sadece,

${my.value} 

kullanmak ve tamamen <c:out> kullanarak önlemek olabilir.

+3

'' kullanılmasına rağmen, değeri * kaçmaksızın * eklenmesini istediğiniz dokümanları, "$ {my.value}", * 'nu kullanmak için * unuttuğunuz bir hata olun. – Andreas