Полностью согласен, CSP — это не волшебная палочка, просто один из слоёв защиты. Главное — всегда экранировать выводуемый контент и не вставлять пользовательские данные напрямую через innerHTML. Библиотеки типа DOMPurify — реально помогают избежать проблем, особенно если есть HTML-редакторы или комментарии. А еще не забывайте про тесты с OWASP ZAP — лучше найти уязвимости заранее, чем потом разгребать последствия.