JSPでfn:escapeXml(string) 一択じゃね?