JSP：JSTLの<c：out>タグ

JSPページを書いて、正確には何を<c:out>しますか？次の両方が同じ結果になることに気づきました：

<p>The person's name is <c:out value="${person.name}" /></p>
<p>The person's name is ${person.name}</p>

c:out クロスサイトスクリプティングを回避できるように、HTML文字をエスケープします。

もし person.name = <script>alert("Yo")</script>

スクリプトは2番目のケースで実行されますが、使用時には実行されません c:out

Will Wagnerが言ったように、jspの古いバージョンでは、常にc:out動的テキストの出力に使用する必要があります。

さらに、次の構文を使用します。

<c:out value="${person.name}">No name</c:out>

名前がnullの場合、「名前なし」というテキストを表示できます。

c:outの値がperson.nameたまたまnullの場合にデフォルト値を割り当てるための属性もあります。

ソース：アウト（TLDDoc生成ドキュメント）

trueに等しい属性escapeXml値を使用して、Xmlエンティティのエスケープを明示的に有効にすることができます。参考までに、デフォルトでは「true」です。

古いバージョンのJSPでは、2番目の構文はサポートされていませんでした。