在HTML中，特殊符号如<, >, &, " 和 ' 在某些情况下会被浏览器解释为HTML标签或属性，这可能导致页面显示不正确或安全风险。Freemarker作为一款流行的模板引擎，经常用于生成HTML页面。正确处理这些特殊符号是避免XSS攻击和保证页面显示效果的关键。
Freemarker的HTML转义
Freemarker内置了一个强大的转义功能，可以帮助我们安全地输出特殊符号。下面是几种常见情况下的解决方案：
1. 输出小于号 <
如果你需要在Freemarker模板中输出HTML标签，比如<a>标签，直接输出将会导致浏览器将其视为标签的开始，而不是文本。为了避免这种情况，可以使用Freemarker的<#escape x as y>标签。
<#-- 输出<a>标签 -->
<a href="http://example.com">链接</a>
如果你需要在文本中包含<字符，可以这样写：
<#-- 输出文本中的<字符 -->
<${x?html}>
这里的?html是一个内置函数，它会将变量x中的特殊字符转义。
2. 输出大于号 >
类似小于号，大于号也需要转义，以避免被浏览器解析为标签结束。
<#-- 输出文本中的>字符 -->
>${x?html}
3. 输出与号 &
HTML中的与号通常用于表示特殊字符的编码，如<表示小于号。直接输出&字符需要转义。
<#-- 输出文本中的&字符 -->
&${x?html}
4. 输出引号 " 和 '
这两个引号字符在HTML属性中用于界定属性值，如果直接输出到模板中，也可能被错误解析。同样地，使用?html函数进行转义。
<#-- 输出文本中的"字符 -->
"${x?html}"
或者
<#-- 输出文本中的'字符 -->
'${x?html}'
Freemarker转义函数详解
?html 是Freemarker中的一个内置函数，用于将变量中的特殊字符进行HTML转义。以下是?html函数的一些使用要点：
- 它会自动转义小于号
<, 大于号>, 与号&, 双引号"和 单引号'。 - 使用
?html可以避免XSS攻击，因为用户输入的任何HTML标签都会被当作普通文本处理。 - 除了
?html，还有?c（字符转义）、?n（数字转义）等函数，分别用于不同场景下的转义需求。
总结
正确处理HTML中的特殊符号是Web开发中的基本技能。使用Freemarker的转义功能，可以轻松地避免因特殊符号导致的潜在问题。通过了解和运用?html等内置函数，你可以确保输出的HTML内容既安全又符合预期。记住，始终将用户输入进行适当的转义，是保护你的Web应用免受攻击的关键。