Ну, с XSS не всё так просто, как кажется. Да, htmlspecialchars и CSP помогают, но злоумышленники постоянно придумывают обходы. Если где-то вы бы не заметили – бах, и дырка. Плюс, неправильная настройка CSP может реально осложнить жизнь. В итоге, комбинировать методы и тестить по максимуму – похоже, единственный практичный вариант. Без этого рисковать — просто зря.