jsp中防止xss攻击

     早上坐着，事不多，突然想起el表达式能不能防止xss攻击，这个问题自己没有看过，那就来百度吧，根据查询的结果看，el表达式${user.name}不能防止xss攻击，不过c:out标记可以防止xss攻击，写法如下：<c:out value="${user.name}" /> ,原因在于c:out 有个缺省属性escapeXML="true" ，可以对特殊标记进行转义。