Я новичок, но похоже, что главное — это не просто фильтровать данные, а именно правильно их выводить, чтобы браузер не запускал чужие скрипты. Читал, что CSP тоже помогает, но его без нормального экранирования не хватит. Короче, лучше сразу делать и так, и так, чтоб не было проблем потом. Мне кажется, проверка и экранирование — это базис, а уж потом уже дополнительные штуки.