Правильно заметили, что фильтры на входе — почти всегда лучше, чем ловить проблемы потом. Библиотеки с проверенным экранированием реально спасают, особенно если CMS или фреймворк поддерживают это из коробки. CSP — хорошая штука, но без нормальной настройки она только галочку поставит, поэтому лучше не рассчитывать на одну только её. Вообще, главное — четко понимать, что и где показываешь пользователю.