Ну, DOM-based XSS, конечно, штука неприятная, но иногда кажется, что это уже перебор — слишком много заморочек с клиентом. Серверные фильтры всё равно главные, хотя, конечно, никуда не денешься от новых замутов на фронтенде. Но прям так пугаться каждой мелочи — не всегда оправдано.