Ох уж эти XSS и CSRF... Знаешь, если просто поставить галочку «защищать» и забить на фильтрацию — любая мелочь потом бахнет по полной. Токены и экранирование — это не для галочки, а чтобы потом не рыдать над взломанной админкой. Кто так думает, что защита — это морока, пусть потом не жалуется, когда скрипты будут запускаться там, где им совсем не место.