如何在JSF <h:outputText>及RichFaces其他输出元素中使用OWASP Encode.forHtmlContent？

我完全懂你的困扰——现有文档大多只覆盖JSP场景，JSF下的具体用法确实很难找到清晰说明。既然h:outputText escape="true"的验证机制不足以防范XSS，我们可以直接复用OWASP ESAPI的Encode.forHtmlContent方法，适配JSF的使用场景，下面是两种可行的方案：

方案1：直接通过EL表达式调用静态方法 #

JSF 2.0+支持EL 2.2的静态方法调用，你可以用T()运算符直接调用ESAPI的Encoder类静态方法。务必把escape设为false，避免双重转义导致显示异常：

<h:outputText 
    value="#{T(org.owasp.esapi.Encoder).forHtmlContent(bean.untrustedValue)}" 
    escape="false" />

这和你提到的JSP示例<b><%= Encode.forHtmlContent(UNTRUSTED) %></b>完全对应，forHtmlContent会严格转义所有可能引发XSS的字符，防护力度比JSF默认的escape="true"更全面。

方案2：自定义JSF转换器（更优雅的复用方式） #

如果需要在多个页面重复使用，自定义转换器能让代码更简洁：

1. 创建转换器类，封装ESAPI的编码逻辑：

@FacesConverter("htmlContentEncoder")
public class HtmlContentEncoderConverter implements Converter {
    @Override
    public Object getAsObject(FacesContext context, UIComponent component, String value) {
        // 若无需将编码后的字符串转回原对象，直接返回原值即可
        return value;
    }

    @Override
    public String getAsString(FacesContext context, UIComponent component, Object value) {
        if (value == null) {
            return "";
        }
        return org.owasp.esapi.Encoder.forHtmlContent(value.toString());
    }
}

2. 在h:outputText中引用该转换器：

<h:outputText 
    value="#{bean.untrustedValue}" 
    converter="htmlContentEncoder" 
    escape="false" />

注意事项 #

• 确保项目已引入OWASP ESAPI依赖，并且esapi.properties配置文件正确放置在类路径下（这是ESAPI正常工作的前提）。
• 不要同时启用escape="true"和ESAPI编码，双重转义会导致特殊字符被转义两次，显示出<这类异常内容。

内容的提问来源于stack exchange，提问作者Jaideep Sagar