StringBuilder适合拼接少量非模板化HTML片段，需对用户输入做HTML转义防XSS，分段构建提升可读性，注意UTF-8编码，复杂场景应换用Thymeleaf等模板引擎。
在 Java 后端开发中，StringBuilder 适合用于拼接少量、非模板化的 HTML 片段，比如生成简单表格行、动态列表项或内联脚本内容。它不替代模板引擎（如 Thymeleaf、FreeMarker），但对轻量级、运行时拼接场景高效且可控。
避免 XSS 的基础防护
直接拼接用户输入到 HTML 中极易引发跨站脚本攻击。使用 StringBuilder 时，必须对所有外部数据做 HTML 转义：
- 用 StringEscapeUtils.escapeHtml4()（Apache Commons Text）或手动替换
&、、<code>>、"、' - 不要信任前端传来的任何字符串，包括 URL 参数、表单字段、JSON 解析结果
- 示例：
sb.append("<div>").append(StringEscapeUtils.escapeHtml4(userInput)).append("</div>");
控制拼接结构，保持可读性
长串 HTML 拼接易出错、难维护。建议按语义分段构建，用空格/换行提升可读性（注意浏览器会折叠多余空白）：
- 每行只追加一个标签或逻辑块，例如：
sb.append("\n<tr>"); sb.append("\n <td>").append(name).append("</td>"); - 用方法封装重复结构，如
buildTableRow(String name, int score)返回拼接好的<tr>...</tr> - 避免嵌套过深的 append 链，必要时用局部变量暂存中间结果
注意字符编码与输出时机
StringBuilder 本身不处理编码，最终写入响应流时需确保字符集一致：
立即学习“Java免费学习笔记（深入）”；
- Servlet 中设置响应编码：
response.setCharacterEncoding("UTF-8"); - HTML 页面头部声明：
<meta charset="UTF-8"> - 中文、emoji 等需 UTF-8 支持，否则出现乱码；拼接前确认原始字符串已是正确编码
何时该换用更合适的方案
当需求超出简单拼接时，应转向专业工具：
- 页面结构复杂、含条件分支或循环 → 用 Thymeleaf 或 JSP
- 需复用组件、支持国际化 → 模板引擎 + 属性文件
- 纯前端渲染 → 返回 JSON，由 JS 构建 DOM（更安全、更灵活）
- 高频拼接大量 HTML → 考虑预编译模板或缓存 StringBuilder 实例（注意线程安全）
