jsp el 和xss

jsp 2.0中的 ${todo.description}是不能防止xss的，如果输入脚本就可能导致xss攻击。
解决方法：
这种表达式只能用作tag的属性，而不能显示，
使用<c:out value="${todo.description}"/>就可以自动escapeXml。或者使用${fn:escapeXml(todo.description)}
如果想不escape,使用<c:out value="${todo.description}" escapeXml="false"/>

<script>alert(1);</script>