Согласен с тем, что экранирование — важно, иначе всё быстро превращается в дичь с XSS. Я просто стараюсь юзать готовые либы для очистки, чтобы не заморачиваться с ручной фильтрацией. CSP добавляю как подстраховку, но без нормального контроля ввода особо не спасёт. Веб-разработка в этом плане — постоянная борьба с такими штуками.