Вижу, что у многих именно с фильтрацией беда, у меня добавил защиту через Content Security Policy — помогает уменьшить влияние XSS на фронте. По CSRF классно, когда для каждой формы генерится уникальный токен, чтобы запросы точно уверенно подтверждались. Если этого нет, можно легко подставить что угодно через чужие сессии. Главное — не забывать про оба сразу, иначе дырки будут везде.