XSSの対策として、サニタイズの要不要について調査しております。

下記のようなコードの場合、サニタイズが必要でしょうか？
urlに<script>alert(1);</script>が含まれていたとしても、hogeのvalueに入れているため、サニタイズは不要に思っています。
※innerhtmlなどで書き換える場合はサニタイズが必要だと思っています。

var url = ajaxでとってくる値
document.fotm.hoge.value = url;

XSSについては勉強中なのですが、近々に調査が必要なため、お力添えをいただければと思います。