あんた、StringUtilsつかってんじゃん!!!

    if (StringUtils.isNotEmpty(user.getPassword())) {
        StringBuffer buf = new StringBuffer();
        for (int i = 0; i < user.getPassword().length(); i++) {
            buf.append(" ");
        }
        form.setPassword(buf.toString());
    }

 って、

if( StringUtils.isNotEmpty( user.getPassword() ) {
    form.setPassword( StringUtils.repeat(" ", user.getPassword().length() ) );
}

 で、いいんじゃないの……。
 いや、こまいことだけどさ。