Как я могу избежать значения в пользовательском обработчике тега JSP?

Это одно из моих полей в одном из моих jsp-файлов:

<input class = "form-input" id = "login" type = "text" name = "login"
  <c:choose>
    <c:when test = "${action == 'edit' && userToEdit != null}">value = "${userToEdit.login}"</c:when>
    <c:when test = "${userFromForm != null}">value = "${userFromForm.login}"</c:when>
    <c:otherwise>value = ""</c:otherwise>
  </c:choose>
<c:if test = "${action == 'edit'}">readonly = "readonly"</c:if>>

При добавлении пользователя имя входа доступно для записи и не защищено от XSS-атаки. Могу ли я как-нибудь спастись от userToEdit.login и userFromForm.login? Насколько я знаю, в основном я мог бы использовать для этой цели c:out или fn:escapeXml() (например, с переменной). Для последнего я попробовал что-то вроде этого:

<c:set var = "loginValue" value = "${userToEdit.login}"/>
<c:set var = "loginValueForm" value = "${userFromForm.login}"/>

Внутри выберите:

<c:when test = "${action == 'edit' && userToEdit != null}">value = "${fn:escapeXml(loginValue)}"</c:when>
<c:when test = "${userFromForm != null}">value = "${fn:escapeXml(loginValueForm)}"</c:when>

В случае c:out я попробовал что-то вроде этого

<c:choose>
  <c:when test = "${action == 'edit' && userToEdit != null}">value = "<c:out value = "${userToEdit.login}"/>"</c:when>
  <c:when test = "${userFromForm != null}">value = "<c:out value = "${userFromForm.login}"/>"</c:when>
  <c:otherwise>value = ""</c:otherwise>
</c:choose>

или что-то вроде этого:

<c:choose>
  <c:when test = "${action == 'edit' && userToEdit != null}">value=<c:out value = "${userToEdit.login}"/></c:when>
  <c:when test = "${userFromForm != null}">value=<c:out value = "${userFromForm.login}"/></c:when>
  <c:otherwise>value = ""</c:otherwise>
</c:choose>

Ни один из них не работал. Если я укажу имя входа, например <script>alert("test")</script>, скрипт запустится без проблем. Я пробовал другие возможности, но не нашел правильного синтаксиса (если проблема в синтаксисе). Я делаю что-то очень неправильно.

Обновление: решено. Возможно, я просто был глуп, потому что мне пришлось решать эту проблему где-то в другом месте. Когда я добавлю этот скрипт, он перейдет на страницу со списком пользователей. Пользователи перечислены с помощью пользовательского тега и принадлежащего ему класса Java. Итак, в другом jsp есть следующие части:

<%@ taglib prefix = "custom" uri = "mytags.tld" %> 

и

<custom:userList />

userList использует UserList.java (расширяет TagSupport), и мне пришлось предотвратить XSS-атаку там. Там я использовал это:

Текст Apache Commons и StringEscapeUtils.escapeHtml4 от этого.