HttpServletRequest.setAttributeは（）のASCII文字に変換

私は呼び出すとHttpServletRequest.setAttribute(name, string)などHttpServletRequest.setAttributeは（）のASCII文字に変換

コンテンツが変換されないように回避策は何ですかASCIIコンテンツ属性文字列の<が<に変換されるような、？コンテンツをjavacript confirm()に表示したい

更新：文字列は、それだけで地図にオブジェクトを配置し、コンテンツをエスケープしません<c:out>

setAttributeメソッドを使用して出力されます。おそらくあなたのテンプレートエンジンがそれを行います。

2011-11-08 06:32:43 cherouvim

私はstruts1 +タイルを使用します。彼らはそれをすると思いますか？ありがとう。 –

おそらくはい。変数をどのように出力しますか？ – cherouvim

「」 –

あなたはより多くのコンテキストを提供することができますか？

2011-11-08 06:32:50

<c:out>には、XMLエスケープを有効にする属性があります。デフォルトでは面白いですが、それは本当です。以下は、XMLエスケープを無効にする例です。

<c:out value="${user.company}" escapeXml="false"/>

2011-11-08 09:51:23

はい、それは面白いです。そして、奇妙な。 –

これは適切なことです。それ以外の場合は、JSPベースのアプリケーションの95％がXSSに脆弱です。 – cherouvim

答えて