<,>&などをエスケープしようと思います。
どこにいれたらいいでしょうか？

1.フィルターを使う
2.request.getParameter〜で受け取った後、無条件に行う
3.カスタムタグとして、表示する際タグで変換して表示させる

1.と2.は処理は基本的にあまり変らないと考えている。
変換前の文字で処理したいケースがあると不向き
2.はbean化すればコーディングは楽か
3.タグでくくるのがめんどう(といっちゃいかんと思う)

みなさんどうしてます。