Все верно, экранирование вывода — это базис, без него толку мало. CSP реально помогает снизить риски, но часто его ставят слишком мягко, и эффект слабый. А самое важное — не просто фильтровать, а понимать, куда именно идут данные, чтобы не вставлять напрямую скрипты или опасные атрибуты. В любом случае, лучше использовать готовые инструменты, чем городить свой костыль.