Да, в целом так и есть — почти все проблемы сводятся к неправильной работе с вводом и конфигурам. Особенно реально бесит, когда в коде вообще забивают на фильтры и проверки, а потом удивляются дыркам в безопасности. Кстати, про CSP — его часто недооценивают, а если настроить нормально, многие XSS отпадают сами собой. Главное — не игнорить простые базовые вещи, они реально работают.