Ах, XSS — вечная история наших веб-битв, как раньше на форумах, когда ковырялись с пользовательским вводом лопатой и песочницей. С тех времён понял: без нормального экранирования и простых библиотек тут никак. CSP — да, крутая штука, но без нормальной работы с вводом — просто косметический пластырь. Лучше сразу продумать, где ставишь innerHTML и не забывать проверять свои ляпы специальными сканерами, чтобы потом не сидеть в больничке.