JSP:JSTL的<c:out>标记

Question

编写JSP页面,究竟做了<c:out>什么？我注意到以下两者都有相同的结果:

<p>The person's name is <c:out value="${person.name}" /></p>
<p>The person's name is ${person.name}</p>

Answer 1

c:out 转义HTML字符,以避免跨站点脚本.

如果 person.name = <script>alert("Yo")</script>

脚本将在第二种情况下执行,但在使用时不会执行 c:out

Answer 2

正如Will Wagner所说,在旧版本的jsp中,你应该总是使用c:out输出动态文本.

而且,使用这种语法:

<c:out value="${person.name}">No name</c:out>

当name为null时,您可以显示文本"No name".

Answer 3

c:out如果值person.name恰好为null,则还具有用于指定默认值的属性.

来源:out(TLDDoc生成的文档)

Answer 4

您可以使用属性escapeXml值等于true来显式启用转义Xml实体.仅供参考,默认情况下为"true".