在Struts 2中使$ {}运算符XSS安全（与挂毯相同）

在Struts 2中使$ {}运算符XSS安全（与挂毯相同）

1. *

   <s:property value="name" />

   默认情况下， *Struts2 自动转义。
2. JSTL

   <c:out value="${name}" />

   默认情况下自动转义；
3. JSP EL

   ${name}

   不会转义。

您可以使用显式地对其进行转义

${fn:escapeXml(name)}

，或将转义设置为默认情况下执行，如这篇很棒的文章中所述，创建自定义ELResolver：

• ELResolver转义JSP EL值以防止跨站点脚本编写