Часто слышал, что главное — это htmlspecialchars, чтобы всякие скрипты не лезли в html. CSP тоже вроде норм, но с ним можно накосячить и интерфейс сломать. А вот эти все заморочки с фильтрами на клиенте кажутся лишними и ненадёжными. Лучше простые и проверенные методы юзать.