CSP реально помогает проконтролировать, откуда можно грузить скрипты и стили, чтобы не впустить всякий шлак. Главное — не забыть про режим "report-only", чтобы не сломать сайт с первого раза, а потом уже жёстко включать блокировку. Без неё XSS ловить труднее, так что это полезный дополнительный фильтр.