html - 在 JSP 页面中呈现未转义的 HTML

Question

我在数据库中有一个包含 HTML 文本的字段，我需要将它打印到 JSP 页面中。如何呈现 HTML？使用 <c:out value="${text}" />我可以看到带有 HTML 标签的文本。换句话说，它正在转义 HTML。

Answer 1

<c:out>默认转义 XML 实体 < , > , & , "和 '以防止 XSS 攻击。

所以要解决您的问题，要么不要使用 <c:out> (适用于 JSP 2.0 和更新版本):

${text}

或添加 escapeXml="false" attribute :

<c:out value="${text}" escapeXml="false" />

你只需要确保这个 HTML 是可信的，否则这将是一个非常简单的 XSS attack洞。 Jsoup可能对此有所帮助，另请参阅 XSS prevention in JSP/Servlet web application .