用StringBuilder拼HTML最安全高效的方式是分段append、字段级转义、显式UTF-8编码、路径用Paths.get、结构拆分为小方法。
用 StringBuilder 拼 HTML 是生成静态页面最直接、轻量又可控的方式，尤其适合学生主页这类结构固定、字段明确的场景。关键不是“能不能拼”，而是“怎么拼得安全、清晰、不乱码、不慢”。
用 append() 分段写，别用 + 号连多行
把整个 HTML 当作一个长字符串用 + 拼，代码难读、易漏引号或换行、性能差——每次 + 都新建 String 对象，学生数据一多（比如加了“入学年份”“兴趣标签”），JVM 堆里就堆出一堆中间字符串。
正确做法是：
- 初始化一个 StringBuilder 实例，比如 StringBuilder html = new StringBuilder();
- 按 HTML 结构分块调用 append()：doctype、html 开头、head、meta charset、title、body、标题、学生信息区、结尾标签
- 支持链式调用，比如 html.append("
").append(escape(name)).append("
");
HTML 转义必须在拼入前做
学生输入的姓名、简介里如果含 <script>alert(1)</script>，直接拼进去就触发 XSS。Java 没内置转义函数，得手动处理。
立即学习“Java免费学习笔记（深入）”；
推荐两种方式：
- 引入 Apache Commons Text，用 StringEscapeUtils.escapeHtml4(name) —— 简洁可靠
- 不想加依赖，手写极简转义：把 < → 、> → >、& → &、" → " —— 这四个足够防基础攻击
- 切记：转义是对每个字段单独做，不是对整段 HTML 再扫一遍；否则所有标签都会变成纯文本
写文件时指定 UTF-8 编码并确保 meta 标签存在
本地能正常显示，换个环境就乱码？大概率是两处没设对：
- HTML 字符串里必须包含：<meta charset="UTF-8">，放在 head 中靠前位置
- 写文件时显式指定编码：Files.write(path, html.toString().getBytes(StandardCharsets.UTF_8))
- 路径别写 "./output/xxx.html"，改用 Paths.get("output", studentId + ".html")，自动适配 Windows/Linux 斜杠差异，也避免目录不存在报错
结构拆成小方法，别挤在一个大方法里
一个生成器不用模板引擎，不等于代码要写成一整坨。把 HTML 构建逻辑拆开，可读性、复用性、调试效率都提升：
- buildHead(String title)：只负责生成 head 区，含 meta 和 title
- buildStudentSection(Student s)：只拼学生头像、姓名、班级、简介等字段（记得先转义）
- buildPage(Student s)：组装 doctype → html → head → body → 各 section → 闭合标签
这样改一个栏目样式，只动对应方法；加一个新字段，也不用翻百行代码找插入点。
