Ну всё правильно, но как только кажется, что накатал идеальную защиту — вот тебе и новое обходное решение. XSS — как гидра: отрубил одну голову, вырастает другая. Главное — не забивать и постоянно подправлять, а не верить в «зашибись, теперь точно на 100%».