Java EL（Expression Language）是专为求值设计的表达式语言，仅支持单个返回值的表达式，不支持多语句执行或副作用操作；试图用分号分隔多个调用（如 System.currentTimeMillis(); System.getProperty('user.name')）无法按预期工作，因为 EL 不解析语句，只计算最终表达式的值。
java el 表达式语言是专为求值设计的表达式语言，仅支持单个返回值的表达式，不支持多语句执行或副作用操作；试图用分号分隔多个调用（如 `system.currenttimemillis(); system.getproperty('user.name')`）无法按预期工作，因为 el 不解析语句，只计算最终表达式的值。
Java EL（Expression Language）并非 Java 代码的简写替代品，而是一种轻量级、只读、面向视图层的表达式求值机制，其核心定位是：在 JSP、JSF 等模板中安全、简洁地访问数据对象属性或调用无副作用的方法，并返回单一结果。因此，ELProcessor（自 Java EE 7 / Jakarta EE 引入）严格遵循这一设计哲学——它只接受并求值一个合法的 EL 表达式（expression），而非 Java 语句（statement）。
例如，以下输入可正常工作：
System.getProperty('user.name') // ✅ 合法 EL 表达式：调用静态方法，返回字符串
"Hello " + user.name // ✅ 合法 EL 表达式：字符串拼接，返回新字符串
${1 + 2 * 3} // ✅ 标准 EL 语法（在 JSP 中），等价于 elp.eval("1 + 2 * 3")但以下输入不符合 EL 规范，行为不可靠或直接报错：
System.currentTimeMillis(); System.getProperty('user.name') // ❌ 分号分隔 → 非法表达式
int x = 42; x * 2 // ❌ 声明语句 + 表达式 → EL 不支持变量声明
System.out.println("log"); "done" // ❌ 含副作用的语句 → EL 明确禁止 I/O 和状态修改⚠️ 关键原因解析：
立即学习“Java免费学习笔记（深入）”；
- EL 解析器（如 ELProcessor）底层基于 JSR-245（EL 3.0）规范，其语法树只接受 Expression 节点（如 MethodExpression, ValueExpression），不支持 Statement 节点（如 ExpressionStatement, BlockStatement）。
- 分号 ; 在 EL 中不是语句分隔符，而是非法字符；多数实现会截断或忽略分号前的内容，仅对最后一个“看起来像表达式”的片段进行求值（即 System.getProperty('user.name')），而 System.currentTimeMillis() 实际未被解析——它甚至不会被执行，更谈不上“被忽略返回值”。
✅ 若需组合多个结果，唯一合规方式是构造复合表达式，例如返回集合或 Map：
// 返回 List 包含两个值（注意：需确保类路径中有对应类型，且方法可公开访问）
elp.eval("[System.currentTimeMillis(), System.getProperty('user.name')]")
// 或构建 Map 更具可读性
elp.eval("{'timestamp': System.currentTimeMillis(), 'username': System.getProperty('user.name')}")
// 输出示例（JSON-like 字符串化）：
// {timestamp=1717023456789, username=alice}? 重要安全提醒：
在生产环境中切勿将用户输入（如 request.getParameter("ce")）直传 ELProcessor.eval()。这等同于开放远程代码执行（RCE）入口——攻击者可通过 System.getenv(), Class.forName().getDeclaredMethods() 等反射调用绕过沙箱，读取敏感环境变量、加载恶意类甚至执行任意 JVM 操作。正确做法是：
- 严格白名单校验输入（如仅允许 user.name, os.arch 等预定义键）；
- 使用受限 ELManager 配置 ELResolver，禁用 StaticFieldELResolver 和 ClassLoaderELResolver；
- 优先采用标准 JSP EL（${}）配合受控 Bean，而非动态 ELProcessor。
总之，善用 EL 的本质：它是数据绑定的桥梁，不是脚本引擎。尊重其表达式语言边界，才能兼顾简洁性、可维护性与安全性。
