如何在EL中访问Scriptlet变量并对errorMessage进行安全清理？

我已在JSP页面顶部引入以下标签库：

<%@taglib prefix="e" uri="https://www.owasp.org/index.php/OWASP_Java_Encoder_Project" %>

以及用于测试的JSTL核心标签库：

<%@ taglib prefix="c" uri="http://java.sun.com/jsp/jstl/core" %>

我需要对errorMessage进行安全清理，但遇到了问题：
使用Scriptlet代码可以正常显示该消息（说明变量确实存在）：

<% if(errorMessage != null) { %>
    <span class="error"><%=errorMessage%></span>
<% } %>

但使用以下任意一种方式都无法显示内容：

<p>Dynamic data via EL: ${e:forHtml(errorMessage)}</p>

<p>Dynamic data via tag: <e:forHtml value="${errorMessage}" /></p>

<c:out value="${errorMessage}" />

不清楚缺少了什么配置或步骤。

问题原因及解决办法 #

• 核心问题：Scriptlet变量与EL作用域不互通
  Scriptlet里定义的errorMessage是页面局部变量，默认不会被放入EL能访问的作用域（pageContext、request、session、application）中，所以EL表达式和标签无法读取到它。

• 具体解决步骤：

  1. 将Scriptlet变量存入EL作用域
     在原Scriptlet代码前添加一行，把变量放到pageContext（当前页面生效）或者request（请求范围内生效）中：

     <% pageContext.setAttribute("errorMessage", errorMessage); %>
     

     之后EL表达式和标签就能正常获取并处理这个变量了。

  2. 确认EL功能已开启
     若项目使用的是Servlet 2.3及更早版本的web.xml，EL默认是关闭的，需要在页面顶部添加：

     <%@ page isELIgnored="false" %>
     

     （Servlet 2.4+版本默认开启EL，无需此配置）

  3. 验证OWASP编码器依赖是否正确部署
     确保项目中已引入OWASP Java Encoder的jar包，若使用Maven，可添加依赖：

     <dependency>
         <groupId>org.owasp.encoder</groupId>
         <artifactId>encoder</artifactId>
         <version>1.2.3</version> <!-- 可替换为最新稳定版 -->
     </dependency>
     

内容的提问来源于stack exchange，提问作者nPcomp