Паронормал, ты правильно отметил про DOM-based — реально при работе с innerHTML без проверки можно подцепить боль. Я бы ещё добавил, что даже быстрый экранированный вывод не спасёт, если где-то в скриптах не следить за вставками из URL или локалсторедж. CSP конечно хорошо, но без нормальной фильтрации и экранирования — профанация. Совет: фильтруй всё и всюду, а CSP пусть работает как дополнительная страховка.