JSP: tag <c: out> di JSTL

Scrivendo una pagina JSP, cosa fa esattamente <c:out>? Ho notato che i seguenti risultati hanno entrambi lo stesso risultato:

<p>The person's name is <c:out value="${person.name}" /></p>
<p>The person's name is ${person.name}</p>

c:out esegue l'escape dei caratteri HTML in modo da evitare lo scripting tra siti.

Se person.name = <script>alert("Yo")</script>

lo script verrà eseguito nel secondo caso, ma non durante l'utilizzo c:out

Come ha detto Will Wagner, nella vecchia versione di jsp dovresti sempre usare c:outper produrre testo dinamico.

Inoltre, utilizzando questa sintassi:

<c:out value="${person.name}">No name</c:out>

è possibile visualizzare il testo "Nessun nome" quando il nome è nullo.

c:outha anche un attributo per l'assegnazione di un valore predefinito se il valore di person.namerisulta essere nullo.

Fonte: out (documentazione generata da TLDDoc)

È possibile abilitare esplicitamente l'escape delle entità Xml utilizzando un valore di escapeXml dell'attributo uguale a true. Cordiali saluti, è "vero" per impostazione predefinita.

Le versioni precedenti di JSP non supportavano la seconda sintassi.