JSP非法参数过滤的办法和经验

过滤掉JSP页面中非正常的参数，并且符合IIS服务器，让参数名不区分大小写，按照正常逻辑一般会写成这样

Pattern pattern = Pattern.compile("[0-9]*"); 

 String leaf = request.getParameter("leaf").toLowerCase(); 
 if("".equals(leaf) || leaf==null || !pattern.matcher(leaf).matches()){

 //JSP参数传递错误

}

还是直接抛HTTP500出来。IF判断不会执行，但是如果改成  
String leaf = request.getParameter("leaf".toLowerCase());就一切正常。
我想说的是，按照一般的思维来说未更改前的代码应该更好理解和阅读，但是偏偏它错了。