如何在 JSTL 函数/EL 中转义双引号？

Question

我需要使用 更改为 \" fn/replace.fn.html" rel="noreferrer">JSTL 替换 函数在输入标记中使用字符串，例如：

<input type="hidden" name="text" size="40" value="${text}">

如果 ${text} 具有 "< /code>，HTML 将会被破坏

。尝试

<input type="hidden" name="text" size="40" value="${fn:replace(text, "\"", "\\\""}">

过

<input type="hidden" name="text" size="40" value="${fn:replace(text, '"', '\"'}">

但没有成功，页面出现类似错误。

org.apache.el.parser.ParseException：在行遇到“”}“”}“” 1，第 32 栏。期待以下之一： “。” ... “）”... “[”... “、”…… “>” ... “gt”... “<” ... “它”... “>=”... “格”... “<=”... “勒”... “==”... “当量”... “！=”... “讷”... “&&” ... “和” ... “||” ... “或者” ... “*”... “+”... “——”…… “/”... “div”... “%”... “模组”...

我该怎么做？

更新

我错过了替换函数的右括号。正确的一个是这个带有闭括号的：

<input type="hidden" name="text" size="40" value="${fn:replace(text, '"', '\"')}">

Update2

我发现在发布文本时，使用 \ 并不是一个好主意，因为这个原因 为什么不能在 HTML 输入标记中使用 \" ？ 代码应该是这样的。 ：

<input type="hidden" name="text" size="40" value="${fn:replace(text, '"', '&quot;')}">

Answer 1

它不起作用，因为 \ 是 Java 字符串中的转义字符。要按字面意思表示它，您需要再次使用另一个 \ 对其进行转义。另外 " 是 EL 中的特殊字符，您还需要对其进行转义以按字面意思表示。因此，正确的语法是：

<input type="hidden" name="text" size="40" value="${fn:replace(text, '\"', '\\\"')}">

但是，您实际上应该是 () 来防止 XSS。它不仅转义引号，还转义其他字符

<input type="hidden" name="text" size="40" value="${fn:escapeXml(text)}">

使用 fn: escapeXml

• 。 href="https://stackoverflow.com/questions/2658922/xss-prevention-in-java">JSP/Servlet Web 应用程序中的 XSS 预防

Answer 2

你做错了（使用fn:replace）。

正确的方法是：

<input type="hidden" name="text" size="40" value="<c:out value='${text}'/>">
(actually tested code - works 100%)

编辑： 经过更多思考：

• 使用 fn:escapeXml （由 BalusC 编写）的方式也可以工作，并且
• 使用 < 看起来更好（没有嵌套标签） em>fn:replace 模仿 fn:escapeXml 是在自找麻烦。您将会忘记包含一些应该转义的字符。只需使用现有的、经过尝试和测试的fn:escapeXml（或c:out）

Answer 3

您可能有一个错字：我在那里没有看到结束括号。试试这个：

${fn:replace(news.title, "\"", "\\\"")}

另外，您是否正在尝试输出结果，或者是否正在尝试更新 news.title 以便下次访问 news.title 时替换就位？这将输出结果，但不会替换实际值：此调用不会更改 news.title 。