Velocity模板语言是否有类似htmlEscaper()的VTL脚本转义专用函数？

Velocity核心引擎没有内置名为htmlEscaper()的原生函数，但官方提供了成熟的标准转义工具，可以直接用于VTL脚本的XSS防护，常用方案如下：

• 优先使用官方Velocity Tools组件中的EscapeTool
  配置完成后可以在模板中通过$esc对象直接调用转义方法，是生产环境最常用的方案：
  • 普通HTML文本输出场景，调用$esc.html(变量名)即可完成HTML实体转义，会自动将&、<、>、"、'等XSS高危字符转换为对应的HTML实体，阻断绝大多数反射型XSS注入路径。
    风险写法：<span>${userComment}</span>
    安全写法：<span>$esc.html(${userComment})</span>
  • 针对不同输出位置要匹配对应转义规则，不要混用转义方法：输出到JS代码块时用$esc.javascript()处理特殊字符；输出到XML结构时用$esc.xml()；输出到URL参数位置时用$esc.url()做编码。
• 全局自动转义配置
  如果不想逐行给输出变量加转义逻辑，可以在Velocity引擎中注册EscapeHtmlReference事件处理器，配置后所有模板中的变量输出会默认自动执行HTML转义，从机制上减少漏转义的概率。对于确认安全、不需要转义的富文本内容，可以通过配置命名规则（比如变量带_safehtml后缀）跳过自动转义，避免正常的HTML标签被错误转码。

注意：不要自行实现零散的转义替换逻辑，这类手写逻辑通常存在字符覆盖不全的问题，很容易被XSS绕过，直接使用官方维护的转义工具即可。

内容的提问来源于stack exchange，提问作者Ramanamark Suriyamoorthy