前段時間修改一個前端jsp頁面的，測試組發現一個問題可讓我糾結很久了，現在終於解決了來總結一下，下次就方便了。

問題:

jsp頁面輸入框中輸入了類似 <script>alert("測試指令碼")</script> 這樣的惡意指令碼，在頁面載入的時候會彈出 alert提示框，很是討厭。

解決方案：

第一種：如果是頁面回顯的話或者在標籤內使用這個值的話，可以使用

使用fn:escapeXml()函式轉義字元，可以解釋為XML標記。

使用這個函式之前必須在頁面中導引入下面二行程式碼

<%@ taglib uri="http://java.sun.com/jsp/jstl/core" prefix="c" %>
<%@ taglib uri="http://java.sun.com/jsp/jstl/functions"  prefix="fn" %>

第二種：如果剛才的問題不是出現在jsp標籤和jsp頁面展示的內容裡面，而是出現的jsp的js中，比如我們從後臺資料中獲取了  類似 <script>alert("測試指令碼")</script> 這樣的惡意指令碼 就不能使用第一種方案了，我也正是被這個問題困擾，最後找到了一個簡單的解決方案，替換掉腳本里面的特殊符號 < >，使用正則表示式來實現：

我寫一個這樣的函式，有可能出現惡意指令碼的字元都用這個函式處理一下就可以了。

function escapeCharactor(val){
 return val.replace(new RegExp("<","g"),"&lt;").replace(new RegExp(">","g"),"&gt;");
}