Ох уж эти XSS и CSRF — как старая добрая классика, которая никак не умирает. Скрипты постоянно видоизменяются, а многие всё ещё надеются, что простая проверка заголовков решит проблему. У меня лично ощущение, что больше всяких новомодных фишек часто боятся внедрять — проще потом чинить костылями. А то, что баги появляются с каждым апдейтом, — так это вообще прописная истина для веба.