esapi是如何encode的？

[靠谱的程序员]

最近项目组在搞安全问题，主要是为了解决xss攻击，OWASP.com推荐了esapi用来对页面上的输出进行转码，有一点不太明白的地方就是：ESAPI.encoder().encodeForHTML(input) 这个方法把input转成什么了？
经过转码jsp页面上显示：暴瑶博
HTML源码显示：

暴瑶博

神奇的是我后来这样写的：

input= ESAPI.encoder().encodeForHTML(input);
input = ESAPI.encoder().encodeForHTMLAttribute(input);
input = ESAPI.encoder().encodeForJavaScript(input);
input = ESAPI.encoder().encodeForCSS(input);
input = ESAPI.encoder().encodeForURL(input);

经过转码jsp页面上"暴瑶博"三个字就变成了这个样子：

%5C5c+x26amp%5C5c+x3B%5C5c+x26%5C5c+x23x23%5C5c+x3Bx66b4%5C5c+x26%5C5c+x23x3b%5C5c+x3B%5C5c+x26amp%5C5c+x3B%5C5c+x26%5C5c+x23x23%5C5c+x3Bx7476%5C5c+x26%5C5c+x23x3b%5C5c+x3B%5C5c+x26amp%5C5c+x3B%5C5c+x26%5C5c+x23x23%5C5c+x3Bx535a%5C5c+x26%5C5c+x23x3b%5C5c+x3B

难道打开的方式有问题？

[Max@2008]

你使用一次转码就好，input= ESAPI.encoder().encodeForHTML(input); 如果你每次都给input，最后就转来很多遍了

[ru_li]

请问楼主，esapi是怎么加载的？为什么我的程序运行总是出错？