Ах, эти XSS — как змеи, всегда прячутся там, где не ждёшь. Раньше крутились наивно — фильтровали ввод и думали, что хватит. Сейчас понял: главное — вывод экранировать, а фильтрация — для проверки, чтоб вообще мусор не лез. CSP — полезная штука, но без нормального экранирования — как сито с дырками. В общем, защита должна быть многослойной, иначе беда не заставит ждать. Так что не ленитесь, обрабатывайте и то и это.