JSP 1.2仕様から、JSP標準タグライブラリ（JSTL）をWebアプリケーションで使用して、ページ内のJSPスクリプトレットの必要性を減らすことを強くお勧めします。JSTLを使用するページは、一般に、読みやすく、保守も簡単です。
...
タグライブラリが同等の機能を提供する場合は常に、JSPスクリプトレットを避けてください。これにより、ページが読みやすくなり、保守が容易になり、ビジネスロジックをプレゼンテーションロジックから分離しやすくなり、ページがJSP 2.0スタイルのページに進化しやすくなります（JSP 2.0仕様では、スクリプトレットの使用はサポートされていますが、それほど重視されていません）。
...
ビジネスロジックからのプレゼンテーション層の間の結合を減らすためにモデルビューコントローラー（MVC）設計パターンを採用するという精神で、JSPスクリプトレットをビジネスロジックの記述に使用しないでください。むしろ、JSPスクリプトレットは、クライアントの要求の処理から返されたデータ（「値オブジェクト」とも呼ばれます）を適切なクライアント対応の形式に変換する必要がある場合に使用されます。それでも、これはフロントコントローラーサーブレットまたはカスタムタグを使用する方が適切です。
すべてのリクエストで同じ Javaコードを呼び出したい場合は、リクエストされたページに関係なく、たとえばユーザーがログインしているかどうかを確認した後、フィルターを実装し、それに応じてコードをメソッドに記述します。例えば：doFilter()
public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws ServletException, IOException {
if (((HttpServletRequest) request).getSession().getAttribute("user") == null) {
((HttpServletResponse) response).sendRedirect("login"); // Not logged in, redirect to login page.
} else {
chain.doFilter(request, response); // Logged in, just continue request.
}
}
<url-pattern>対象となるJSPページをカバーする適切な場所にマッピングする場合、JSPページ全体に同じコードをコピーアンドペーストする必要はありません。
いくつかのJavaコードを呼び出してリクエストを前処理する場合、たとえば、必要に応じてクエリパラメータに基づいてデータベースからリストをプリロードしてテーブルに表示する場合は、サーブレットを実装し、それに応じてコードをdoGet()メソッドに記述します。例えば：
protected void doGet(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
try {
List<Product> products = productService.list(); // Obtain all products.
request.setAttribute("products", products); // Store products in request scope.
request.getRequestDispatcher("/WEB-INF/products.jsp").forward(request, response); // Forward to JSP page to display them in a HTML table.
} catch (SQLException e) {
throw new ServletException("Retrieving products failed!", e);
}
}
この方法で例外を処理する方が簡単です。DBは、JSPレンダリングの最中ではなく、JSPが表示されるずっと前にアクセスされます。DBアクセスが例外をスローするたびに、応答を変更する可能性があります。上記の例では、デフォルトのエラー500ページが表示され、とにかく<error-page>inでカスタマイズできますweb.xml。
フォーム送信の処理など、Javaコードを呼び出してリクエストを後処理する場合は、サーブレットを実装し、それに応じてdoPost()メソッドにコードを記述します。例えば：
protected void doPost(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
String username = request.getParameter("username");
String password = request.getParameter("password");
User user = userService.find(username, password);
if (user != null) {
request.getSession().setAttribute("user", user); // Login user.
response.sendRedirect("home"); // Redirect to home page.
} else {
request.setAttribute("message", "Unknown username/password. Please retry."); // Store error message in request scope.
request.getRequestDispatcher("/WEB-INF/login.jsp").forward(request, response); // Forward to JSP page to redisplay login form with error.
}
}
このようにすると、さまざまな結果ページの宛先を簡単に処理できます。エラーが発生した場合は検証エラーを含むフォームを再表示し（この特定の例では${message}、ELを使用してフォームを再表示できます）、成功した場合は目的のターゲットページに移動します。
Javaコードを呼び出して、実行プランやリクエストとレスポンスの宛先を制御する場合は、MVCのフロントコントローラーパターンに従ってサーブレットを実装します。例えば：
protected void service(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
try {
Action action = ActionFactory.getAction(request);
String view = action.execute(request, response);
if (view.equals(request.getPathInfo().substring(1)) {
request.getRequestDispatcher("/WEB-INF/" + view + ".jsp").forward(request, response);
} else {
response.sendRedirect(view);
}
} catch (Exception e) {
throw new ServletException("Executing action failed.", e);
}
}
または、JSF、Spring MVC、WicketなどのMVCフレームワークを採用するだけで、カスタムサーブレットを必要とせずに、JSP / FaceletsページとJavaBeanクラスのみを使用できます。
JSPページ内のフローを制御する Javaコードを呼び出す場合は、JSTLコアのような（既存の）フロー制御taglibを取得する必要があります。たとえばList<Product>、テーブルに表示する：
<%@ taglib uri="http://java.sun.com/jsp/jstl/core" prefix="c" %>
...
<table>
<c:forEach items="${products}" var="product">
<tr>
<td>${product.name}</td>
<td>${product.description}</td>
<td>${product.price}</td>
</tr>
</c:forEach>
</table>
すべてのHTMLの中にうまく収まるXMLスタイルのタグを使用すると、コードは、さまざまな開き括弧と閉じ括弧を備えた一連のスクリプトレットよりも読みやすく（したがって、保守性が向上します）（「この終了括弧はどこに属しているのですか？」）。次のコードをに追加することにより、スクリプトレットがまだ使用されている場合は常に例外をスローするようにWebアプリケーションを構成するのが簡単ですweb.xml。
<jsp-config>
<jsp-property-group>
<url-pattern>*.jsp</url-pattern>
<scripting-invalid>true</scripting-invalid>
</jsp-property-group>
</jsp-config>
Facelets、ジャワEEの一部であるJSPの後継は、MVCフレームワーク提供JSFを、すでに、しない使用することができるスクリプトレットを。この方法では、自動的に「正しい方法」で物事を実行する必要があります。
JSPページ内の「バックエンド」データにアクセスして表示するためにJavaコードを呼び出す場合は、EL（式言語）を使用する必要があります${}。たとえば、送信された入力値を再表示します。
<input type="text" name="foo" value="${param.foo}" />
の${param.foo}結果が表示されますrequest.getParameter("foo")。
いくつかのユーティリティ JavaコードをJSPページ（通常はpublic staticメソッド）で直接呼び出す場合は、それらをEL関数として定義する必要があります。JSTLには標準の関数taglibがありますが、関数を自分で簡単に作成することもできます。XSS 攻撃fn:escapeXmlを防ぐためにJSTL がどのように役立つかの例を次に示します。
<%@ taglib uri="http://java.sun.com/jsp/jstl/functions" prefix="fn" %>
...
<input type="text" name="foo" value="${fn:escapeXml(param.foo)}" />
XSSの感度は、特にJava / JSP / JSTL / EL /に特に関連しているわけではないことに注意してください。この問題は、開発するすべての Webアプリケーションで考慮する必要があります。スクリプトレットの問題は、少なくとも標準のJava APIを使用せずに、組み込みの防止手段を提供しないことです。JSPの後継であるFaceletsにはすでに暗黙のHTMLエスケープ機能があるので、FaceletsのXSSホールについて心配する必要はありません。
