Ну, htmlspecialchars — это самый надёжный минимальный набор, с ним уже можно дышать спокойно. А CSP — как тонкая настройка, если переборщить, то реально интерфейс даст сбой, как твой старый телефон на новых приложениях. Всё остальное — уже бонусы, которые лёгким движением руки могут превратиться в головную боль. Иногда меньше — лучше, особенно если код писать любишь нечасто.