Java字符串构建的HTML标签未被浏览器识别，如何正确实现？

这个坑我之前踩过！核心问题出在你手动提前转义了HTML实体，而外部服务本身又默认做了一次HTML转义，导致双重转义——你写的<被服务端再转义成<，浏览器自然就只会显示文本而不是解析成标签了。

下面是具体的解决步骤：

1. 停止手动转义HTML标签 #

直接在Java字符串里写原生的HTML代码，不要用<、>这类转义字符。比如把你的代码从：

String wrongContent = "<a href=\"url\">WORKFLOW</a>";

改成：

String correctContent = "<a href=\"url\">WORKFLOW</a>";

2. 让外部服务不对内容进行转义 #

大部分后端框架/外部服务为了防止XSS攻击，默认会对输出的字符串做HTML转义。你需要告诉服务端：这段内容是安全的HTML，不需要转义。常见场景的处理方式：

• 如果是Thymeleaf模板：用th:utext="${yourContent}"代替th:text（utext是unescaped text的意思）
• 如果是JSP：使用<c:out value="${yourContent}" escapeXml="false"/>，关闭XML转义
• 如果是Spring MVC返回HTML：确保返回类型是text/html，比如：

  @GetMapping("/output")
  public ResponseEntity<String> getHtmlContent() {
      String html = "<a href=\"url\">WORKFLOW</a>";
      return ResponseEntity.ok()
              .contentType(MediaType.TEXT_HTML)
              .body(html);
  }
  

• 如果是自定义的服务逻辑：检查是否调用了类似StringEscapeUtils.escapeHtml4()这类转义方法，把它去掉

3. 额外安全提醒 #

如果你的HTML内容包含用户输入的内容，绝对不能直接关闭转义！必须先通过XSS过滤工具（比如OWASP Java Encoder）处理输入，确保没有恶意脚本，再输出原生HTML，避免安全风险。

内容的提问来源于stack exchange，提问作者Vivek Krishna