Ну да, DOM-based XSS реально муторная штука, потому что пока думаешь, что всё чисто на сервере, браузер уже тихо вставил что-то опасное. Вроде бы фронт — просто отображение, а там целая подкопка может быть. Похоже, что без тщательной проверки клиентской части никуда. Просто надо следить, чтоб не пропустить зацепки прямо в коде на JS.