一个奇怪的问题

类似下面的代码，提交数据插入数据库时，大部分时间插入是正常的，不过有时会在记录后面加个&字符，
例如填写“abc”提交后，数据库表记录的数据为“abc&”，不知为什么
<body>
<%
String user = (String)session.getAttribute("user");
%>
<form id="form1" name="form1" method="post" action="2.jsp">
  <table border="1">
    <tr>
      <td width="13">&nbsp;</td>
      <td width="168">&nbsp;</td>
      <td width="101">&nbsp;</td>
    </tr>
    <tr>
      <td>用户：</td>
      <td><input type="text" name="user" value="<%//=user%>"/></td>
      <td>&nbsp;</td>
    </tr>
  </table>
  <input type="submit" name="Submit" value="提交" />
</form>
</body>