Лучше использовать JSTL, что-то вроде:
<c:out value="${str}" escapeXml="false"/>
Если str
приходит в запросе, то
<c:out value="${param.str}" escapeXml="false"/>
Здесь escapeXml="false"
даст указание, что теги html / xml должны оцениваться, а не экранироваться.