防范手法如下： 
1. 防堵跨站漏洞，阻止攻击者利用在被攻击网站上发布跨站攻击语句不可以信任用户提交的任何内容，首先代码里对用户输入的地方和变量都需要仔细检查长度和对”<”,”>”,”;”,”’”等字符做过滤；其次任何内容写到页面之前都必须加以encode，避免不小心把html tag 弄出来。这一个层面做好，至少可以堵住超过一半的XSS 攻击。 
2. Cookie 防盗 
首先避免直接在cookie 中泄露用户隐私，例如email、密码等等。其次通过使cookie 和系统ip 绑定来降低cookie 泄露后的危险。这样攻击者得到的cookie 没有实际价值，不可能拿来重放。 
3. 尽量采用POST 而非GET 提交表单 
POST 操作不可能绕开javascript 的使用，这会给攻击者增加难度，减少可利用的 
跨站漏洞。 
4. 严格检查refer 
检查http refer 是否来自预料中的url。这可以阻止第2 类攻击手法发起的http 请求，也能防止大部分第1 类攻击手法，除非正好在特权操作的引用页上种了跨站访问。 
5. 将单步流程改为多步，在多步流程中引入效验码 
多步流程中每一步都产生一个验证码作为hidden 表单元素嵌在中间页面，下一步操作时这个验证码被提交到服务器，服务器检查这个验证码是否匹配。 
首先这为第1 类攻击者大大增加了麻烦。其次攻击者必须在多步流程中拿到上一步产生的效验码才有可能发起下一步请求，这在第2 类攻击中是几乎无法做到的。 
6. 引入用户交互 
简单的一个看图识数可以堵住几乎所有的非预期特权操作。 
7. 只在允许anonymous 访问的地方使用动态的javascript。 
8. 对于用户提交信息的中的img 等link，检查是否有重定向回本站、不是真的图片等 
可疑操作。 
9. 内部管理网站的问题 
很多时候，内部管理网站往往疏于关注安全问题，只是简单的限制访问来源。这种网站往往对XSS 攻击毫无抵抗力，需要多加注意。安全问题需要长期的关注，从来不是一锤子买卖。XSS 攻击相对其他攻击手段更加隐蔽和多变，和业务流程、代码实现都有关系，不存在什么一劳永逸的解决方案。此外，面对XSS，往往要牺牲产品的便利性才能保证完全的安全，如何在安全和便利之间平衡也是一件需要考虑的事情。

web应用开发者注意事项： 
　　1.对于开发者，首先应该把精力放到对所有用户提交内容进行可靠的输入验证上。这些提交内容包括URL、查询关键 
字、http头、post数据等。只接受在你所规定长度范围内、采用适当格式、你所希望的字符。阻塞、过滤或者忽略其它的 
任何东西。 
　　2.保护所有敏感的功能，以防被bots自动化或者被第三方网站所执行。实现session标记（session tokens）、 
CAPTCHA系统或者HTTP引用头检查。 
　　3.如果你的web应用必须支持用户提供的HTML，那么应用的安全性将受到灾难性的下滑。但是你还是可以做一些事来 
保护web站点：确认你接收的HTML内容被妥善地格式化，仅包含最小化的、安全的tag（绝对没有JavaScript），去掉任何 
对远程内容的引用（尤其是样式表和JavaScript）。为了更多的安全，请使用httpOnly的cookie。

 1FCKConfig.ToolbarSets["Custom"] = [
 2    ['FontFormat','FontName','FontSize'],
 3    ['Bold','Italic','Underline','StrikeThrough','-','Subscript','Superscript'],
 4    ['OrderedList','UnorderedList','-','Outdent','Indent','Blockquote'],
 5    ['JustifyLeft','JustifyCenter','JustifyRight','JustifyFull'],
 6    ['Image','Flash','Table','Rule','Smiley','SpecialChar','PageBreak'],
 7    ['Link','Unlink','Anchor'],
 8    ['TextColor','BGColor'],'/'
 9    ['Cut','Copy','Paste','PasteText','PasteWord'],
10   ['Undo','Redo','-','Find','Replace','-','SelectAll','RemoveFormat'],
11   ['FitWindow','ShowBlocks','-','Source','About']        // No comma for the last row.
12] ;

1<%
2    Dim oFCKeditor
3    Set oFCKeditor = New FCKeditor
4    oFCKeditor.BasePath    = "edit/"
5    oFCKeditor.Value    = ""
6    oFCKeditor.Config("SkinPath")="/website/manage/edit/editor/skins/silver/"
7    oFCKeditor.ToolbarSet = "Custom"
8    oFCKeditor.Create "txtcontent"
9%>

1<FCK:editor instanceName="editorDefault" basePath="/fckeditor">
2    <jsp:attribute name="value">请填写内容</jsp:attribute>
3    <jsp:attribute name="toolbarSet">Custom</jsp:attribute>
4</FCK:editor>

下面对编辑器的按钮进行详细介绍：

EditSource 显示HTML源代码
StrikeThrough 删除线
Save 保存
NewPage 新建空白页面
Superscrīpt 上标
Subscrīpt 下标
Preview 预览
JustifyLeft 左对齐
Cut 剪切
Copy 复制
Paste 粘贴
JustifyCenter 居中对齐
JustifyRight 右对齐
JustifyFull 两端对齐
PasteText 纯文本粘贴
InsertOrderedList 自动编号
PasteWord 来自Word的粘贴
InsertUnorderedList 项目符号
Print 打印
Outdent 减少缩进
SpellCheck 拼写检查
Indent 增加缩进
Find 查找
ShowTableBorders 显示表格线
Replace 替换
ShowDetails 显示明细
Undo 撤销
Form 添加Form动作
Redo 还原
Checkbox 复选框
SelectAll 全选
Radio 单选按钮
RemoveFormat 去除格式
Input 单行文本框
Link 插入/编辑 链接
Textarea 滚动文本框
RemoveLink 去除连接
Select 下拉菜单
Anchor 锚点
Button 按钮
Image 插入/编辑 图片
ImageButton 图片按钮
Table 插入/编辑 表格
Hidden 隐藏
Rule 插入水平线
Zoom 显示比例
SpecialChar 插入特殊字符
FontStyleAdv 系统字体
UniversalKey 软键盘
FontStyle 字体样式
Smiley 插入表情符号
FontFormat 字体格式
About 关于
Font 字体
Bold 粗体
FontSize 字体大小
Italic 斜体
TextColor 文字颜色
Underline 下划线
BGColor 背景色

1<jsp:include page="split_page.jsp">
2    <jsp:param name="jspUrl" value="<%=jspUrl%>" />
3    <jsp:param name="category" value='<%=equest.getParameter("category")%>' />
4    <jsp:param name="searchFlag" value="T" />
5</jsp:include>

1<jsp:include page="split_page.jsp">
2    <jsp:param name="jspUrl" value="<%=jspUrl%>" />
3    <jsp:param name="category" value="<%=equest.getParameter(\"category\")%>" />
4    <jsp:param name="searchFlag" value="T" />
5</jsp:include>

org.apache.jasper.compiler.Parser.STRICT_QUOTE_ESCAPING=false

参考资料： 

https://issues.apache.org/bugzilla/show_bug.cgi?id=45015

http://tomcat.apache.org/tomcat-5.5-doc/config/systemprops.html

http://tomcat.apache.org/tomcat-6.0-doc/config/systemprops.html

注意在你的项目的根目录新建那个文件