如何将Java生成的Href链接传递到JSP页面并正确渲染

嘿，你遇到的问题核心原因很明确：<c:out>标签默认会对HTML特殊字符进行转义，所以你在服务端拼接的<a>标签被转成了纯文本（比如<变成<），自然没法渲染成可点击的链接。

快速修复方案 #

直接修改JSP里的<c:out>标签，添加escapeXml="false"属性关闭HTML转义，就能让<a>标签正常被浏览器解析：

<div class="alert alert-danger"> 
  <a href="#" class="close" data-dismiss="alert" aria-label="close">&times; </a> 
  <label class="control-label" style="color: #FF0000">
    <strong>Error:</strong> 
    <c:out value="${errorMsg}" escapeXml="false"/> 
  </label> 
</div>

更安全的优化方案 #

不过直接输出未转义的HTML存在XSS跨站脚本攻击风险（如果错误信息包含用户输入内容，恶意用户可能注入恶意代码）。更优的做法是拆分链接的各个部分传递，在JSP中组装：

1. 服务端代码（拆分参数）：

// 分开传递文本、链接地址和错误内容，不直接拼接HTML
String linkText = "microsoft";
String linkUrl = "http://microsoft.com";
String errorContent = "Test error : ";
String errorSuffix = "Ignore";

request.setAttribute("errorContent", errorContent);
request.setAttribute("linkText", linkText);
request.setAttribute("linkUrl", linkUrl);
request.setAttribute("errorSuffix", errorSuffix);

2. JSP页面代码（组装内容）：

<div class="alert alert-danger"> 
  <a href="#" class="close" data-dismiss="alert" aria-label="close">&times; </a> 
  <label class="control-label" style="color: #FF0000">
    <strong>Error:</strong> 
    ${errorContent}
    <a href="${linkUrl}" target="_blank">${linkText}</a>
    ${errorSuffix}
  </label> 
</div>

这种方式既规避了安全风险，也让代码结构更清晰，后续维护更方便。

内容的提问来源于stack exchange，提问作者jaggs