Вспомнил, как раньше все плясали с чисткой от XSS и SQL-инъекций — а сейчас вроде как уже стандарт, и все на CSP с заголовками смотрят, но чаще всего настраивают через одно место, чтобы не ломать сайт. Ну, главное, чтобы хоть что-то было, иначе совсем лопатой копаешь в хаосе.