Кстати, CSP — реально рабочий вариант, сам давно такой использую, помогает хотя бы снизить риск XSS без глубоких переделок кода. По токенам для форм да, иначе и не получится защитить свои действия от подставных запросов, особенно в админке. Главное, конечно, чтобы и фильтрация работала на входе, без неё даже токены не спасут полностью.