Вообще, помню, раньше сайтов таких заморочек особо не было, просто htmlspecialchars ставил и вроде норм. Сейчас, конечно, не прокатит, особенно если где-то забыл. CSP попробовал пару раз — штука полезная, но настроить сложно, легче накосячить. Лучше делать всё понемногу: и экранирование, и проверку, и заголовки — тогда хоть как-то спокойно спишь. Клиентский код не спасёт, это точно.