先生と生徒の会話形式で理解しよう

生徒

「JSPの中にJavaのコードを書くと、動的に表示できて便利ですよね！」

先生

「たしかに便利ですが、JavaコードをJSPに書くときには注意しなければならないポイントがいくつかあります。」

生徒

「注意点って何があるんですか？セキュリティとか関係あるんですか？」

先生

「保守性とセキュリティの両方に関わってきますよ。では、詳しく説明していきましょう。」

1. JSPに直接Javaコードを書くとは？

JSP（JavaServer Pages）では、HTMLの中に<% ～ %>の形式でJavaコードを埋め込むことができます。これは「スクリプトレット」と呼ばれ、簡単な処理であればJSP内に完結させられるため、初心者にもわかりやすい方法です。

しかし、この書き方は便利な反面、後述するように保守性の低下やセキュリティリスクを生む可能性があるため、常に使ってよいというわけではありません。


<%
    String name = "花子";
%>
<p>こんにちは、<%= name %>さん！</p>

このように記述すれば、動的な挨拶が可能になりますが、コードが増えるにつれて管理が難しくなる傾向があります。

2. 保守性の観点から見た問題点

JSPにJavaコードを埋め込むと、HTMLとJavaのロジックが混在し、コードが見づらくなります。チーム開発や将来の改修を考えると、どこに何の処理があるのか把握しづらくなり、バグの温床にもなりかねません。

特に業務用のWebアプリケーションでは、データベースアクセスやセッション処理など、複雑なロジックが求められます。それらをすべてJSPに詰め込むと、画面表示と処理がごちゃ混ぜになってしまい、コードの再利用や分担作業が難しくなります。

3. 表示と処理は分けるのが基本

JavaのWebアプリケーションでは「処理はServlet、表示はJSP」という役割分担が基本です。ロジックはServlet側で記述し、JSPはなるべくHTMLベースのテンプレートとして使うことが保守性の高い構成になります。

JSPでは次のように、Servletから渡されたデータだけを使って表示処理に専念しましょう。


<p>こんにちは、<%= request.getAttribute("userName") %>さん！</p>

このようにすれば、JSP内のJavaコードも最小限に抑えることができ、読みやすくなります。

4. セキュリティの観点からの注意点

JSPでJavaコードを書くと、入力値をそのまま表示してしまうミスが起きやすく、クロスサイトスクリプティング（XSS）のようなセキュリティ脆弱性が生まれる原因になります。

たとえば、次のようにユーザー入力をそのまま画面に出力するのは非常に危険です。


<p><%= request.getParameter("comment") %></p>

このコードでは、悪意のあるスクリプトを仕込んだコメントを投稿された場合、そのまま実行されてしまいます。

対策としては、JavaでHTMLをエスケープ処理するライブラリ（例：Apache Commons TextのStringEscapeUtils）を使うか、表示専用タグライブラリ（JSTLなど）を活用する方法があります。

5. セッション情報やログイン状態の扱いも慎重に

JSPに直接セッション情報の制御を書くと、同様にセキュリティのリスクが高まります。セッションタイムアウトや不正アクセスのチェックなどはServletで処理し、JSPはそれに従って表示を切り替えるだけにしましょう。

また、管理者ページなどの認証が必要なページは、アクセス制御をJSP内に書くのではなく、ServletやFilterで管理すべきです。

6. JavaBeansやEL式、JSTLの活用で保守性アップ

JSPの中で直接Javaコードを書くのではなく、JavaBeansやEL式、JSTL（JSP Standard Tag Library）を使えば、より安全で読みやすく、保守性の高いコードになります。

例えば、JSPに次のように記述することで、Javaコードを書かずに値を表示できます。


<p>こんにちは、${user.name}さん！</p>

これにより、HTMLとJavaの分離が進み、開発効率も高まります。

7. 今後の開発を見据えたベストプラクティス

現代のJava開発では、Spring MVCやThymeleafなど、さらに高度なフレームワークが使われることが多くなってきました。しかし、JSPとServletの正しい使い方を理解することは、その基礎を固めるうえで非常に重要です。

保守性とセキュリティを意識して、JSPでは極力Javaコードを排除し、構造の明確なテンプレートを作成する習慣を身につけておくと、将来の開発でも大きな力になります。

まとめ

JSPの中にJavaコードを書くことは、仕組みとしては簡単で直感的に見えるものの、実際の開発現場では慎重な判断が求められる重要なテーマです。今回の記事内容を振り返ってみると、スクリプトレットを使えばその場で動的な処理が書けて便利ではありますが、HTMLとJavaが混在することで保守性が低下し、複数人での開発では修正箇所が見つけにくくなったり、思わぬ不具合の原因となるリスクが高いという点が繰り返し示されていました。また、ユーザー入力をそのまま画面に出すことによるXSS（クロスサイトスクリプティング）の脆弱性や、セッション管理をJSP内に書いてしまうことで生じるセキュリティ上の問題など、慎重に扱うべき観点も数多く存在します。

Webアプリケーションとして安全に運用するためには、「処理はServletやJavaBeansへ、表示はJSPへ」という役割分担を徹底し、JSPをあくまでもテンプレートとして扱うことが理想的です。記事の中でも紹介したように、JSPではEL式やJSTL、さらにJavaBeansを併用することで、Javaコードを直接書かずに値を表示できる仕組みが整っています。これらを活用することで、ページの可読性が大幅に向上し、セキュリティ面でも安全な実装につながります。特に近年のSpring MVCやThymeleafといったフレームワークへ進むうえでも、この考え方は必須となるため、基礎として身につけておくことは大きな価値があります。

ここでは、記事の内容を踏まえた「安全なJSPの書き方」を再確認できるサンプルを紹介します。スクリプトレットを使わずにEL式で値を表示し、JSTLを利用する形にすることで、保守性が高く、後から読む人にも優しい構成を目指します。

安全なJSPのサンプル（スクリプトレットを使わない構成）


<!DOCTYPE html>
<html>
<head>
    <meta charset="UTF-8">
    <title>安全なJSP記述例</title>
</head>
<body>
    <!-- JSTLを使った繰り返し処理のサンプル -->
    <h3>ユーザー一覧</h3>
    <ul>
        <c:forEach var="user" items="${userList}">
            <li>${fn:escapeXml(user.name)} さん</li>
        </c:forEach>
    </ul>

    <!-- EL式での安全な値表示 -->
    <p>ログイン中のユーザー：${fn:escapeXml(loginUser)}</p>
</body>
</html>

このように記述すれば、JSP内にJavaコードを直接書かずに動的なページを作成できます。HTMLの構造が崩れにくくなり、コードの読みやすさも向上し、セキュリティ面でもより堅牢な構成になります。特にfn:escapeXmlのようなエスケープ処理はXSS対策として非常に有効で、Webアプリケーションを安全に保つために不可欠です。

今回の記事全体を通して、JSPにJavaコードを書く便利さとリスク、そして安全で保守しやすいWebアプリケーションを作るために意識すべきポイントが整理されました。これらを日常的に意識していくことで、コードはより整った構成となり、開発効率や品質向上にも確実に繋がっていきます。「最初は少し手間に見えても、長期的なメリットは非常に大きい」という視点を持つことがJSP開発において重要であると言えるでしょう。

先生と生徒の振り返り会話

生徒

「JSPに直接Javaコードを書くのって、便利なだけじゃなくてこんなにリスクがあるんですね…！」

先生

「ええ、特に保守性とセキュリティの面では注意点が多いんです。理解して使い分けることがとても大切ですよ。」

生徒

「表示と処理を分けることの重要性もよくわかりました。Servletにロジックを置くっていう考え方が大事なんですね。」

先生

「その通りです。JSPはあくまでも画面表示に集中させて、複雑な処理はサーバ側に任せるのが正しい使い方です。」

生徒

「EL式やJSTLを使えばJavaコードを書かなくても動的ページが作れるっていうのも驚きでした！」

先生