DOM を使って XML インスタンスを作るときは DOM が勝手にサニタライズをやってくれるようだ（タグそのまま書けたら DOM の構造が狂ってしまうのでよく考えれば当たり前だけど）。今までスクリプト側でもやっていたから、<, >, & をコメントに入れると &lt;, &gt;, &amp; になってしまっていた。