從dbms我得到的東西像<font color="red"> abc</font>
。當它到達我的xhtml文件中的${someManagedBean.someValue}
時,輸出被清理。對於99,999%的病例來說這非常棒。JSF請不要逃離我的html
問:是否有某種方法可以禁用此自動轉義?
紅利問題:我只能允許html和禁止javascript嗎?
從dbms我得到的東西像<font color="red"> abc</font>
。當它到達我的xhtml文件中的${someManagedBean.someValue}
時,輸出被清理。對於99,999%的病例來說這非常棒。JSF請不要逃離我的html
問:是否有某種方法可以禁用此自動轉義?
紅利問題:我只能允許html和禁止javascript嗎?
http://www.jsftoolbox.com/documentation/help/12-TagReference/html/h_outputText.html
escape=false
不知道有關防止JS只雖然。您可能需要自己解析HTML以擺脫<script>
和內容。
<h:outputText value="#{someManagedBean.someValue}" escape="false" />
outputFormat標記可以幫助你。 請檢查http://www.mkyong.com/jsf2/jsf-2-outputformat-example/
如果您想允許html,但不允許使用javascriot,請查看OWASP antisamy – Erlend