Фильтрация данных на сервере — базовое, без этого вообще беда. Но клиентская часть тоже важна, особенно с DOM-based XSS, где косяки возникают из-за работы с innerHTML. CSP в связке с правильным экранированием реально сильно поднимает планку безопасности, так что лучше использовать оба метода вместе, чем надеяться только на одно из решений.