Короче, если вкратце, чтобы защититься от XSS — просто фильтруйте все, что пишет юзер, чтоб никакие скрипты не прошли. А от CSRF спасают эти токены — без них, реально, любой левый сайт может что угодно на вашем проверить, пока вы в системе сидите. Главное — не забывать обновлять движок и не пускать в GET запросы действия с изменениями, тогда базовую защиту обеспечите.