Самое простое — фильтровать все, что юзер вводит, и обязательно экранировать при выводе. Без CSRF-токенов формы — дырка на дырке, так что их лучше сразу брать за правило. CSP — хороший плюс, но не религия, основа в обновлениях и базовой фильтрации. Пока не сделаешь минимальный минимум, дальше вся эта защита развалится.