Помню, когда начинал, тоже думал, что фильтры на клиенте — пшик полный. Сейчас понял, что без htmlspecialchars и правильных куки просто никак. CSP — да, полезно, но легко нафандать бага, если не аккуратно. Главное — базу держать чистой и не пытаться подмазывать всё и сразу. Иногда проще, чем кажется, если не заморачиваться лишним. В итоге, простые вещи реально спасают.