JSP：JSTL的 <c:out> 標簽

Question

編寫一個JSP頁面， <c:out>是什么？ 我注意到以下兩者具有相同的結果：

<p>The person's name is <c:out value="${person.name}" /></p>
<p>The person's name is ${person.name}</p>

Answer 1

c:out轉義HTML字符，這樣您就可以避免跨站點腳本編寫。

如果person.name = <script>alert("Yo")</script>

該腳本將在第二種情況下執行，但在使用c:out時不會執行

Answer 2

正如Will Wagner所說，在舊版本的jsp中，您應該始終使用c:out輸出動態文本。

此外，使用以下語法：

<c:out value="${person.name}">No name</c:out>

名稱為空時，可以顯示文本“無名稱”。

Answer 3

您可以使用等於true的屬性escapeXml值顯式啟用對Xml實體的轉義。 僅供參考，默認情況下為“ true”。

Answer 4

如果person.name的值恰好為空，則c:out也具有用於分配默認值的屬性。

來源： out（TLDDoc生成的文檔）

Answer 5

較舊的JSP版本不支持第二種語法。