<h:selectOneMenu value="#{bean.value}">
    <f:selectItems value="#{bean.selectItems}" var="obj" itemValue="#{obj}" itemLabel="#{obj.name}"/>
</h:selectOneMenu>

我的bean中的getSelectItems()方法看起来像这样：

public List<MyObject> getSelectItems() {
        List<MyObject> list = new LinkedList<MyObject>();
 
        MyObject obj = new MyObject("Peter");
        list.add(obj);
 
        return list;
    }

显示的对象是具有属性“name”的简单对象.

到目前为止没有什么特别之处但是现在我改变了我的方法：

public List<MyObject> getSelectItems() {
        List<MyObject> list = new LinkedList<MyObject>();
 
        MyObject obj = new MyObject("<script>alert('xss is bad');</script>");
        list.add(obj);
 
        return list;
    }

JavaScript没有被MenuRenderer-Class转义,我的页面显示了alert-message.

是否有任何原因为什么SelectItem的escape-attribute的默认值为“false”？
我如何解决这个问题？ (我使用Mojarra 2.1.7)