如何在JSP中安全使用getParameter

Question

我正在使用getParameter從URL到頁面獲取內容。

<p>name <%= request.getParameter("name") %></p>

我應該避免什么內容（例如腳本標簽）？
我應該如何驗證？

我在JSP中工作。

編輯：
今天，我只去除html標簽：

variable.replaceAll("\\<.*?>","");

Answer 1

您不應該在jsp中使用scriptlet，這不是一個好習慣

<p>name <c:out value='${param.name}'/> </p>

您應該注意XSS攻擊 c:out將逃脫xml

要逃脫JavaScript注入，可以使用StringUtils.escapejavaScript()