Самое главное — всегда экранируй вывод, а не только фильтруй ввод, иначе скрипты легко проскользнут. CSP — классная штука, но без нормального экранирования его толку мало. Лучше делать и то, и другое, тогда защита будет реально работать, а не просто галочка в чек-листе.