<h:inputHidden> 标签会对其呈现的属性值进行 html 编码吗？答案

【问题标题】：Will <h:inputHidden> tag do the html encoding for the attribute value it renders?<h:inputHidden> 标签会对其呈现的属性值进行 html 编码吗？
【发布时间】：2013-08-20 03:06:45
【问题描述】：

<h:inputHidden> 标签会对其呈现的属性值进行 html 编码吗？

我找不到这方面的任何文档。

【问题讨论】：

您可以随时尝试。
我对UI技术不是很熟悉。在代码中，有如下内容： ${param['xxx']} 是 ${} 一个 JSF 可识别的表达式吗？或者它是一个 JBOSS SEAM 表达式，因为我们使用了 SEAM。
这是一个全新的问题。

标签： jsf

【解决方案1】：

在 JSF 中，一切都是 HTML 编码的，除非您在支持该属性的标记/组件上显式设置 escape="false" 属性（例如 <h:outputText>）。

因此这也涵盖了任何<h:inputXxx> 组件的值。

另见：

CSRF, XSS and SQL Injection attack prevention in JSF

【讨论】：

非常感谢您的回答！