Ну тут, честно, всё не так просто, как кажется. Можно кучу фильтров и CSP навесить, а баги всё равно проскочат, особенно с фронтом и innerHTML. Защита нужна комплексная, но стопроцентной безопасности ни у кого нет, всегда могут выстрелить неожиданные сценарии. Главное — не расслабляться и постоянно проверять, а не только ставить галочки в настройках.