Spring MVC & VM 模板：如何格式化请求参数防止 XSS 攻击

为了避免 XSS 攻击，可以在 Spring MVC 中使用以下方法来格式化请求参数：

1. 使用 Spring MVC 的表单绑定功能，确保所有请求参数都被正确地绑定到 Java 对象中。可以使用 @ModelAttribute 注解来标记一个方法参数，这样 Spring MVC 就会自动将请求参数绑定到该对象中。

2. 对于需要手动处理的请求参数，可以使用 Apache Commons Lang 库中的 StringEscapeUtils 类来转义 HTML 特殊字符。例如，可以使用以下代码来转义一个字符串：

   String escapedString = StringEscapeUtils.escapeHtml4(inputString);

3. 在前端模板中使用模板引擎的安全输出功能，例如在 Velocity 中使用 $!{variable} 来输出变量，这样变量中的 HTML 特殊字符就会被自动转义。

4. 在前端模板中使用模板引擎的过滤器功能，例如在 Freemarker 中使用 ?html 来过滤 HTML 特殊字符。

总之，为了避免 XSS 攻击，需要在后端和前端都进行相应的处理。后端需要对请求参数进行格式化和转义，前端需要使用安全输出和过滤器来避免注入攻击。