JSP 输出语法全面解析

JSP 提供了多种输出内容到响应流的方式，每种方式都有其特定的使用场景和特点。以下是 JSP 输出语法的详细解析。

总结

• JSP直接编写普通字符串
  • 翻译到service方法的out.write(“这里面”)
• <%%>
  • 翻译到service方法体内部，里面是一条一条Java语句
• <%！%>
  • 翻译到service方法体外部
• <%=%>
  • 翻译到service方法体内部，翻译为：out.print();
• <%@page contentType=“text/html;charset=UTF-8”%>
  • page指令，通过contentType属性用来设置响应的内容类型。

一、JSP 输出方式概览

输出方式	语法	特点	适用场景
表达式输出	<%= %>	简单直接，自动转换为字符串	简单变量输出
out 对象输出	<% out.print(); %>	显式控制输出	条件输出、循环输出
EL 表达式	${}	简洁，自动空值处理	属性值输出
JSTL 标签	<c:out>	安全，可防止 XSS	需要转义的用户输入
指令包含输出	<%@ include %>	静态包含，编译时合并	复用页面片段

二、详细语法解析

1. JSP 表达式输出 (Expression)

语法：<%= expression %>

特点：

• 表达式会被计算并转换为字符串
• 自动添加到输出流中
• 不需要分号结尾

示例：

<%String name = "张三";int age = 25;java.util.Date now = new java.util.Date();
%><p>姓名: <%= name %></p>
<p>年龄: <%= age %></p>
<p>当前时间: <%= now %></p>
<p>计算表达式: <%= 10 + 5 * 2 %></p>
<p>方法调用: <%= name.toUpperCase() %></p>

底层原理：
表达式会被转换为 Servlet 中的 out.print() 调用：

out.print(name);
out.print(age);
// ...

2. out 对象输出

语法：<% out.print(expression); %>

特点：

• 显式控制输出
• 可以在脚本片段中使用
• 需要分号结尾

示例：

<%String[] colors = {"红色", "绿色", "蓝色"};for(String color : colors) {out.print("<li>" + color + "</li>");}// 条件输出boolean isAdmin = true;if(isAdmin) {out.print("<button>管理功能</button>");}
%>

3. EL 表达式输出 (Expression Language)

语法：${expression}

特点：

• 简洁易读
• 自动处理 null 值（不会抛出异常）
• 支持属性访问和方法调用
• 支持各种运算符

示例：

<!-- 属性访问 -->
<p>用户: ${user.name}</p>
<p>年龄: ${user.age}</p><!-- 集合访问 -->
<p>第一个元素: ${items[0]}</p>
<p>Map值: ${map.key}</p><!-- 运算符 -->
<p>结果: ${10 + 5 * 2}</p>
<p>比较: ${user.age > 18}</p>
<p>条件: ${not empty user ? user.name : '游客'}</p><!-- 方法调用 -->
<p>长度: ${user.name.length()}</p>

4. JSTL 标签输出

语法：<c:out value="${expression}" />

特点：

• 自动转义 HTML 特殊字符，防止 XSS 攻击
• 支持默认值设置
• 更安全的内容输出

示例：

<%@ taglib prefix="c" uri="http://java.sun.com/jsp/jstl/core" %><!-- 基本输出 -->
<c:out value="${user.name}" /><!-- 带默认值 -->
<c:out value="${user.email}" default="未设置邮箱" /><!-- 禁用转义 (谨慎使用) -->
<c:out value="${htmlContent}" escapeXml="false" /><!-- 条件输出 -->
<c:if test="${not empty user}"><c:out value="${user.name}" />
</c:if>

5. 指令包含输出

语法：<%@ include file="path" %>

特点：

• 静态包含，在编译时合并文件内容
• 共享相同的变量和上下文
• 适用于复用公共页面片段

示例：

<!-- header.jsp -->
<header><h1>网站标题</h1><nav>导航菜单</nav>
</header><!-- main.jsp -->
<%@ include file="header.jsp" %>
<main><p>主内容区域</p>
</main>
<%@ include file="footer.jsp" %>

三、输出语法对比与选择

性能比较

方式	性能	说明
表达式输出	高	直接转换为 out.print()
out 对象输出	高	直接调用 out 方法
EL 表达式	中	需要解析表达式
JSTL 标签	中低	需要标签库支持

安全性比较

方式	安全性	说明
表达式输出	低	直接输出，可能 XSS
out 对象输出	低	直接输出，可能 XSS
EL 表达式	中	自动空值处理，但可能 XSS
JSTL 标签	高	默认转义，防止 XSS

四、最佳实践与示例

1. 安全输出示例

<%// 用户输入可能包含恶意脚本String userInput = "<script>alert('XSS')</script>安全内容";
%><!-- 危险：直接输出 -->
<p><%= userInput %></p> <!-- 会执行脚本! --><!-- 安全：使用 JSTL 转义 -->
<p><c:out value="${userInput}" /></p> <!-- 显示为文本 --><!-- 安全：手动转义 -->
<%String safeOutput = userInput.replace("&", "&amp;").replace("<", "&lt;").replace(">", "&gt;").replace("\"", "&quot;").replace("'", "&#39;");
%>
<p><%= safeOutput %></p>

2. 复杂数据输出

<%// 复杂对象class User {public String name;public int age;public String[] hobbies;public User(String name, int age, String[] hobbies) {this.name = name;this.age = age;this.hobbies = hobbies;}}User user = new User("李四", 30, new String[]{"阅读", "运动", "音乐"});pageContext.setAttribute("currentUser", user);
%><!-- 使用 EL 表达式 -->
<h2>用户信息</h2>
<p>姓名: ${currentUser.name}</p>
<p>年龄: ${currentUser.age}</p>
<p>爱好: <c:forEach items="${currentUser.hobbies}" var="hobby" varStatus="status">${hobby}<c:if test="${not status.last}">, </c:if></c:forEach>
</p><!-- 使用脚本和表达式 -->
<h2>用户信息</h2>
<p>姓名: <%= user.name %></p>
<p>年龄: <%= user.age %></p>
<p>爱好: <%for(int i = 0; i < user.hobbies.length; i++) {out.print(user.hobbies[i]);if(i < user.hobbies.length - 1) {out.print(", ");}}%>
</p>

3. 条件输出示例

<%boolean isLoggedIn = true;String userRole = "admin";int messageCount = 0;
%><!-- 使用脚本 -->
<%if(isLoggedIn) {out.print("<p>欢迎回来!</p>");} else {out.print("<p>请先登录</p>");}
%><!-- 使用表达式和三元运算符 -->
<p><%= isLoggedIn ? "欢迎回来!" : "请先登录" %></p><!-- 使用 EL 表达式 -->
<p>${isLoggedIn ? "欢迎回来!" : "请先登录"}</p><!-- 使用 JSTL -->
<c:choose><c:when test="${isLoggedIn && userRole == 'admin'}"><p>欢迎管理员!</p></c:when><c:when test="${isLoggedIn}"><p>欢迎回来!</p></c:when><c:otherwise><p>请先登录</p></c:otherwise>
</c:choose><!-- 条件显示消息数量 -->
<c:if test="${messageCount > 0}"><p>您有 ${messageCount} 条新消息</p>
</c:if>

五、常见错误与解决方法

1. 表达式语法错误

<!-- 错误：表达式中有分号 -->
<p><%= name; %></p>  <!-- 编译错误 --><!-- 正确 -->
<p><%= name %></p>

2. 空指针异常

<%String nullValue = null;
%><!-- 错误：可能空指针 -->
<p><%= nullValue.length() %></p>  <!-- 运行时异常 --><!-- 正确：使用 EL 表达式 -->
<p>${nullValue.length()}</p>  <!-- 输出空字符串，不报错 --><!-- 正确：使用条件判断 -->
<p><%= nullValue != null ? nullValue.length() : "空值" %></p>

3. HTML 转义问题

<%String text = "欢迎使用<br>标签";
%><!-- 错误：可能意外渲染 HTML -->
<p><%= text %></p>  <!-- "br" 会被浏览器解析为换行 --><!-- 正确：使用 JSTL 转义 -->
<p><c:out value="${text}" /></p>  <!-- 显示原始文本 -->

六、性能优化建议

1. 减少脚本片段使用：尽量使用 EL 表达式和 JSTL

2. 避免在循环中创建对象：

   <!-- 不佳 -->
   <% for(int i = 0; i < 100; i++) { %><%= new java.util.Date() %>  <!-- 每次循环创建新对象 -->
   <% } %><!-- 优化 -->
   <% java.util.Date now = new java.util.Date(); %>
   <% for(int i = 0; i < 100; i++) { %><%= now %>  <!-- 复用同一对象 -->
   <% } %>
   

3. 使用适当的作用域：合理使用 page、request、session 和 application 作用域

总结

JSP 提供了多种输出语法，各有优缺点：

1. 表达式输出 (<%= %>)：简单直接，适合简单输出
2. out 对象输出：灵活控制，适合复杂逻辑
3. EL 表达式 (${})：简洁安全，适合属性访问
4. JSTL 标签 (<c:out>)：最安全，适合用户输入
5. 指令包含：代码复用，适合页面片段

最佳实践推荐：

• 优先使用 EL 表达式和 JSTL 标签
• 对用户输入内容始终进行转义
• 避免在 JSP 中编写复杂业务逻辑
• 合理选择变量的作用域

通过合理选择和组合这些输出方式，可以编写出既安全又高效的 JSP 页面。