我知道像下面三行

<%= x+1 %>
<%= request.getParameter("name") %>
<%! counter++; %>

是一种老派的编码方式，在 JSP 版本 2 中，存在一种避免 JSP 文件中的 Java 代码的方法。什么是替代的 JSP 2 行，这种技术叫什么？

网友回答：

作为保护措施：永久禁用脚本

正如另一个问题正在讨论的那样，您可以并且始终应该在 Web 应用程序描述符中禁用脚本。web.xml

我总是这样做，以防止任何开发人员添加脚本，尤其是在您迟早会失去概述的大公司中。设置如下所示：web.xml

<jsp-config>
  <jsp-property-group>
    <url-pattern>*.jsp</url-pattern>
     <scripting-invalid>true</scripting-invalid>
  </jsp-property-group>
</jsp-config>

网友回答：

自从 2001 年 taglibs（如 JSTL）和 EL（表达式语言，这些东西）诞生以来，在 JSP 中使用脚本（这些东西）确实是非常不鼓励的。<% %>${}

脚本的主要缺点是：

1. 可重用性：不能重用脚本。
2. 可替换性：你不能使脚本抽象。
3. OO能力：你不能使用继承/组合。
4. 可调试性：如果 scriptlet 中途抛出异常，你得到的只是一个空白页。
5. 可测试性：脚本不可进行单元测试。
6. 可维护性：每个saldo需要更多时间来维护混合/混乱/重复的代码逻辑。

太阳Oracle 本身还建议在 JSP 编码约定中避免在 （标记） 类可能具有相同功能时使用脚本。以下是几个相关的引用：

从 JSP 1.2 规范开始，强烈建议在 Web 应用程序中使用 JSP 标准标记库 （JSTL），以帮助减少页面中对 JSP 脚本的需求。通常，使用 JSTL 的页面更易于阅读和维护。

…

在可能的情况下，只要标记库提供等效的功能，就避免使用 JSP 脚本。这使得页面更易于阅读和维护，有助于将业务逻辑与表示逻辑分开，并使页面更容易演变为 JSP 2.0 样式的页面（JSP 2.0 规范支持但不再强调脚本的使用）。

…

本着采用模型-视图-控制器 （MVC） 设计模式来减少表示层与业务逻辑之间的耦合的精神，JSP 脚本不应用于编写业务逻辑。相反，如果需要，可以使用 JSP 脚本将处理客户端请求返回的数据（也称为“值对象”）转换为正确的客户端就绪格式。即便如此，这最好使用前端控制器 servlet 或自定义标记来完成。

如何完全替换脚本完全取决于代码/逻辑的唯一目的。通常，此代码应放置在一个完整的 Java 类中：

• 如果你想在每个请求上调用相同的Java代码，无论请求的页面如何，或多或少，例如检查用户是否已登录，然后实现过滤器并在方法中相应地编写代码。例如：doFilter()

    public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws ServletException, IOException {
        if (((HttpServletRequest) request).getSession().getAttribute("user") == null) {
            ((HttpServletResponse) response).sendRedirect("login"); // Not logged in, redirect to login page.
        } else {
            chain.doFilter(request, response); // Logged in, just continue request.
        }
    }
  

  当映射到适当的覆盖感兴趣的 JSP 页面上时，您不需要复制粘贴相同的代码段整个 JSP 页面。<url-pattern>

  ---

• 如果你想调用一些Java代码来处理GET请求，例如从数据库中预加载一些列表以显示在某个表中，如果需要基于一些查询参数，那么实现一个servlet并在方法中相应地编写代码。例如：doGet()

    protected void doGet(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
        try {
            List<Product> products = productService.list(); // Obtain all products.
            request.setAttribute("products", products); // Store products in request scope.
            request.getRequestDispatcher("/WEB-INF/products.jsp").forward(request, response); // Forward to JSP page to display them in a HTML table.
        } catch (SQLException e) {
            throw new ServletException("Retrieving products failed!", e);
        }
    }
  

  这样处理异常就更容易了。数据库不是在 JSP 渲染过程中访问的，而是在显示 JSP 之前很久。您仍然可以在数据库访问引发异常时更改响应。在上面的示例中，将显示默认错误 500 页面，您无论如何都可以通过 in 自定义该页面。<error-page>web.xml

  ---

• 如果你想调用一些Java代码来处理POST请求，比如从提交的HTML表单中收集数据并用它做一些业务（转换，验证，保存在数据库中等），那么实现一个servlet并在方法中相应地编写代码。例如：doPost()

    protected void doPost(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
        String username = request.getParameter("username");
        String password = request.getParameter("password");
        User user = userService.find(username, password);
  
        if (user != null) {
            request.getSession().setAttribute("user", user); // Login user.
            response.sendRedirect("home"); // Redirect to home page.
        } else {
            request.setAttribute("message", "Unknown username/password. Please retry."); // Store error message in request scope.
            request.getRequestDispatcher("/WEB-INF/login.jsp").forward(request, response); // Forward to JSP page to redisplay login form with error.
        }
    }
  

  通过这种方式，处理不同的结果页面目标更容易：在出现错误时重新显示带有验证错误的表单（在此特定示例中，您可以在EL中使用重新显示它），或者在成功的情况下仅转到所需的目标页面。${message}

  ---

• 如果要调用一些 Java 代码来控制执行计划和/或请求和响应的目的地，请根据 MVC 的前端控制器模式实现 servlet。例如：

    protected void service(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
        try {
            Action action = ActionFactory.getAction(request);
            String view = action.execute(request, response);
  
            if (view.equals(request.getPathInfo().substring(1)) {
                request.getRequestDispatcher("/WEB-INF/" + view + ".jsp").forward(request, response);
            } else {
                response.sendRedirect(view);
            }
        } catch (Exception e) {
            throw new ServletException("Executing action failed.", e);
        }
    }
  

  或者只是采用像JSF，Spring MVC，Wicket等MVC框架，这样你最终只需要一个JSP / Facelet页面和一个JavaBean类，而不需要自定义servlet。

  ---

• 如果你想调用一些Java代码来控制JSP页面内的流，那么你需要获取一个（现有的）流控制标签库，如JSTL核心。例如，在表格中显示：List<Product>

    <%@ taglib uri="http://java.sun.com/jsp/jstl/core" prefix="c" %>
    ...
    <table>
        <c:forEach items="${products}" var="product">
            <tr>
                <td>${product.name}</td>
                <td>${product.description}</td>
                <td>${product.price}</td>
            </tr>
        </c:forEach>
    </table>
  

  使用XML样式的标签，非常适合所有HTML中，代码比一堆带有各种左大括号和右大括号的脚本更好可读（因此更易于维护）（“这个右大括号到底属于哪里？”）。一个简单的帮助是将以下部分添加到：web.xml

    <jsp-config>
        <jsp-property-group>
            <url-pattern>*.jsp</url-pattern>
            <scripting-invalid>true</scripting-invalid>
        </jsp-property-group>
    </jsp-config>
  

  在 Facelets 中，JSP 的继承者是 Java EE 提供的 MVC 框架 JSF 的一部分，已经无法使用脚本。这样，你就会自动被迫以“正确的方式”做事。

  ---

• 如果你想调用一些Java代码来访问和显示JSP页面中的“后端”数据，那么你需要使用EL（表达式语言），这些东西。例如，重新显示提交的输入值：${}

    <input type="text" name="foo" value="${param.foo}" />
  

  显示 的结果。${param.foo}request.getParameter("foo")

  ---

• 如果要直接在 JSP 页面中调用一些实用程序 Java 代码（通常是方法），则需要将它们定义为 EL 函数。JSTL 中有一个标准的函数 taglib，但您也可以自己轻松创建函数。下面是 JSTL 如何用于防止 XSS 攻击的示例。public staticfn:escapeXml

    <%@ taglib uri="http://java.sun.com/jsp/jstl/functions" prefix="fn" %>
    ...
    <input type="text" name="foo" value="${fn:escapeXml(param.foo)}" />
  

  请注意，XSS敏感度与Java/JSP/JSTL/EL/无关，在你开发的每个Web应用程序中都需要考虑到这个问题。scriptlet 的问题在于它没有提供内置的预防方法，至少不使用标准的 Java API。JSP的继任者Facelets已经隐含了HTML转义，所以你不需要担心Facelets中的XSS漏洞。

另请参阅：

• JSP、Servlet 和 JSF 有什么区别？
• Servlet、ServletContext、HttpSession 和 HttpServletRequest/Response 是如何工作的？
• 具有 JSP、Servlet 和 JDBC 的基本 MVC 示例
• Java Web 应用程序中的设计模式
• JSP/Servlet 的隐藏特性

网友回答：

JSTL 为条件、循环、集合、获取等提供标签。例如：

<c:if test="${someAttribute == 'something'}">
   ...
</c:if>

JSTL 使用请求属性 – 它们通常由转发给 JSP 的 Servlet 在请求中设置。