如何在JSP中安全使用getParameter

Question

我正在使用getParameter从URL到页面获取内容。

<p>name <%= request.getParameter("name") %></p>

我应该避免什么内容（例如脚本标签）？
我应该如何验证？

我在JSP中工作。

编辑：
今天，我只去除html标签：

variable.replaceAll("\\<.*?>","");

Answer 1

您不应该在jsp中使用scriptlet，这不是一个好习惯

<p>name <c:out value='${param.name}'/> </p>

您应该注意XSS攻击 c:out将逃脱xml

要逃脱JavaScript注入，可以使用StringUtils.escapejavaScript()