Партийно с XSС лучше не заморачиваться, если проект небольшой. Основное — htmlspecialchars на выводе и кук с HttpOnly, чтоб сессии не свистнули. CSP прикольная штука, но да, ее легко сломать, особенно без опыта. Клиентские фильтры — чисто доп, не основа, потому что обойти их проще простого. Простые меры — плюс безопасности, и голова не болит.