writeURIAttribute(String, Object, String)かencodeURIAttribute(String)でそれをチェックするようにした方が良い気がします。
SunRI とMyFaces もjavascript:をチェックしていました。ざっと見た感じでは、MyFaces のコードの方が良さそうな気もします。