На мой взгляд, просто htmlspecialchars не выкрутит ситуацию, особенно если где-то код забыл обработать. CSP реально дает хороший допуск безопасности, но без правильной настройки толку мало. В итоге лучше не пихать всё в один метод, а сделать несколько уровней защиты, тогда шума будет меньше. Ну и помнить, что клиентский фильтр — не панацея.