本文目录一览：
jfinal什么时候出web版的后台管理
可以加入Jfinal俱乐部，
引用官网的：
俱乐部当前发放的福利是本社区 jfinal.com 的源代码，并取名为
jfinal-club。jfinal-club 在核心功能上相当于一个迷你的 OSChina 社区，newsfeed
信息流模块整合了整站动态数据，交互性极好。重要功能：动态消息、@提到我、remind提醒、关注、好友、粉丝、私信、发贴、回贴、点赞、收藏、定时任务等功能。常见的功能也很全面：文件下载、图片上传、用户头像裁剪、登录、注册、邮件激活、找回密码、XSS过滤、缓存、后台管理、以及一些常用工具类等等。
jfinal-club 是官方出品的唯一 JFinal 最佳实践，绝无仅有的极简设计，获得 jfinal-club 也就获得了作者本人对
JFinal 的使用精髓。基于 jfinal 3.3 开发，获得 jfinal-club 将以令人难以想象的速度掌握新版本功能。
jfinal-club 是一个长期进化的，不断添加实用功能的项目，加入俱乐部以后，将随之长期享受该福利。
---------------
web版的后台管理社区做的比较好的有：
JfinalUIB ， EOVA ，JPress， ... 等很多都非常的好
相关项目
俱乐部
大家畅所欲言，当jFinal遇到XSS和SQL注入怎么处理
数据进入数据库之前对非法字符进行转义，在更新和显示的时候将非法字符还原
在显示的时候对非法字符进行转义
如果项目还处在起步阶段，建议使用第二种，直接使用jstl的c:out标签即可解决非法字符的问题。当然，对于Javascript还需要自己处理一下，写一个方法，在解析从服务器端获取的数据时执行以下escapeHTML()即可。
附：Javascript方法：
String.prototype.escapeHTML = function () {
return this.replace(//g, ‘’).replace(//g, ‘’).replace(//g, ‘’).replace(/”/g, ‘"’);
}
如果项目已经开发完成了，又不想大批量改动页面的话，可以采用第一种方法，此时需要借助Spring MVC的@InitBinder以及org.apache.commons.lang.PropertyEditorSupport、org.apache.commons.lang.StringEscapeUtils
public class StringEscapeEditor extends PropertyEditorSupport {
private boolean escapeHTML;
private boolean escapeJavaScript;
private boolean escapeSQL;
public StringEscapeEditor() { super(); }
public StringEscapeEditor(boolean escapeHTML, boolean escapeJavaScript, boolean escapeSQL) {
super();
this.escapeHTML = escapeHTML;
this.escapeJavaScript = escapeJavaScript;
this.escapeSQL = escapeSQL;
}
@Override
public void setAsText(String text) {
if (text == null) {
setValue(null);