CSRF-токены реально полезны, но иногда их можно обойти, если не проверять другие вещи, типа Referer или Content-Type. По XSS важно не только фильтровать ввод, но и правильно экранировать вывод — часто в этом моменте косяки. CSP помогает, но её тоже надо грамотно настроить, иначе толку мало. В общем, смотреть надо на всё вместе, а не просто ставить галочку «есть токен».