Честно, я только начал пытаться разобраться с XSS и CSRF, и то, что тут написали, здорово помогает понять, что простых решений нет. CSRF-токен вроде как базовая штука, но без нормальной фильтрации и проверки заголовков — толку мало. А про экранирование вывода вообще полезно, я раньше думал, что фильтрить ввод достаточно. Сейчас попробую повнимательнее к этому подойти.