JPA和InnoDB,以及JSP/JSTL问题

4) <c:out value="${value}" /> 执行XML转义, ${value} 不

2. 您最终可以使用一个过滤器,它可以 HttpServeletResponse#setCharacterEncoding() 和 #setContentType() ,但对于普通JSP页面,我更喜欢 @page 除此之外。如有必要,只需在IDE中JSP模板的顶部添加额外的行,这样您就不必每次都输入它。

3. 不,这不是编译器的责任。

4. c:out c:出去

   String input = "<script>alert('XSS');</script>";
   
   <p><c:out value="${input}" /></p> <!-- works fine, no alert, just escaped. -->
   <p>${input}</p> <!-- JS get interpreted and executed! XSS! -->
   

5. 当然,还有更好的办法。但是,由于您不想使用框架,所以到此为止。我至少可以说关键是 DRY . 最小化和重构代码重复。还要尽量使其抽象化,以便易于扩展和重用。以下是一些提示:

   String username = view.getField("username", REQUIRED, MINLENGTH(3));
   String email = view.getField("email", REQUIRED, EMAIL);
   Integer age = view.getField("age", Integer.class, NUMBER);
   
   // ...
   
   public String getField(String name, Validator... validators) {
       return getField(name, String.class, validators);
   }
   
   public <T extends Object> T getField(String name, Class<T> type, Validator... validators) {
       String value = request.getParameter(name);
       return validateAndConvert(name, value, type, validators);
   }
   
   private <T extends Object> T validateAndConvert
       (String name, String value, Class<T> type, Validator... validators)
   {
       value = (value != null && !value.trim().isEmpty()) ? value.trim() : null;
       try {
           for (Validator validator : validators) {
               validator.validate(value);
           }
       } catch (ValidatorException e) {
           setError(name, e.getMessage());
       }
       return (value != null) ? Converter.convert(value, type) : null;
   }
   

1.不,你不必。级联由JPA提供商管理。

5.没有。要么编写自己的实用程序类或验证框架,要么使用现有的实用程序类或验证框架。