如何在jsp中安全地使用getParameter

Question

我使用 getParameter 将内容从 URL 获取到页面。

<p>name <%= request.getParameter("name") %></p>

我应该避免哪些内容（例如脚本标签）？
我应该如何验证它？

我在 JSP 工作。

编辑：
今天我只去掉 html 标签：

variable.replaceAll("\\<.*?>","");

Answer 1

你不应该在jsp中使用scriptlet，这不是一个好习惯

<p>name <c:out value='${param.name}'/> </p>

，你应该注意XSS攻击 c:out 将转义 xml

要转义 javascript 注入，您可以使用 StringUtils.escapejavaScript()