По делу — CSP реально подрубает профиль безопасности, но без нормальной валидации на сервере толку мало. Фильтрация должна быть контекстно-зависимой, а не тупо блокировать теги или скрипты. Ну и про современные библиотеки не забывать, они умеют и экранировать, и предотвращать много подводных камней старого подхода.