JSP include传递变量时，如何限制被包含JSP仅可被指定文件引入？

问题本质 #

你使用的<%@include %>是JSP静态引入指令，编译阶段会直接把b.jsp的源码完整嵌入a.jsp对应位置，合并成单个Servlet类再编译执行，所以运行时a.jsp里定义的String a = "Test"对b.jsp的代码完全可见，这也是直接访问a.jsp功能正常的原因。
但b.jsp作为独立文件存在时，自身没有变量a的定义，就会出现两个典型问题：

• IDE语法校验会把b.jsp里对a的引用标记为未定义错误
• 直接请求b.jsp时会抛出变量未定义的运行时异常

具体解决方案 #

1. 消除IDE语法报错，让编辑器识别依赖关系 #

两种无侵入的实现方式：

• 给b.jsp添加IDE识别的变量声明注释
  主流JSP开发工具（IDEA、Eclipse等）都支持注释形式的变量声明，只需要在b.jsp顶部加如下注释，IDE就会识别到a变量的存在，不会再报语法错误，这段注释不会参与实际编译，对运行逻辑无任何影响：

  <%--@elvariable id="a" type="java.lang.String"--%>
  <%-- 原有b.jsp内容不变 --%>
  <%= a %>
  

• 改用JSP标签文件替代片段JSP
  如果b.jsp完全是作为公共复用片段存在、不需要独立对外提供服务，更推荐把文件后缀改为.tag，存到WEB-INF/tags目录下。标签文件本身就是为被引用设计的，支持显式声明依赖的传入变量，IDE可以完整做语法校验，从根源上避免未定义变量的报错。

2. 限制b.jsp仅能被引入、禁止单独访问 #

按推荐优先级从高到低排序：

• 将片段JSP放入WEB-INF目录
  这是零额外配置的最优方案：Servlet规范明确规定WEB-INF目录下的所有资源无法被外部通过URL直接访问，仅能通过服务端转发、include的方式调用。只需要把b.jsp移动到WEB-INF下的子目录（比如WEB-INF/jsp/fragments/b.jsp），再把a.jsp里的引入路径改成对应路径即可：

  <%@include file="/WEB-INF/jsp/fragments/b.jsp"%>
  

  调整后直接请求b.jsp会直接返回404，静态引入的逻辑完全不受影响。
• 统一片段后缀并配置全局访问拦截
  可以把所有仅用于被引入的JSP片段后缀统一改为.jspf（JSP Fragment官方推荐的片段后缀），然后在web.xml中添加安全约束，禁止所有直接访问.jspf资源的请求：

  <security-constraint>
      <web-resource-collection>
          <web-resource-name>Deny direct access to JSP fragments</web-resource-name>
          <url-pattern>*.jspf</url-pattern>
      </web-resource-collection>
      <auth-constraint/>
  </security-constraint>
  

• 在b.jsp内增加引入校验逻辑
  如果不想调整文件位置、后缀或全局配置，可以直接在b.jsp开头加校验逻辑，判断当前请求是否是include触发的，如果是直接访问就返回错误：

  <%
  // 判断是否为include引入的请求
  String includeUri = (String) request.getAttribute("javax.servlet.include.request_uri");
  if (includeUri == null) {
      // 直接访问返回403禁止访问
      response.sendError(HttpServletResponse.SC_FORBIDDEN);
      return;
  }
  %>
  

内容的提问来源于stack exchange，提问作者Japhei