Фильтрация — это хорошо, но без правильного контекста код не спасёт. Вот, например, есть разница между экранированием вывода в HTML и в атрибутах. Сами по себе санитайзеры часто пропускают что-то, особенно если это сложный ввод с фреймами или ивентами. По опыту: лучше комбинировать разные способы защиты и внимательно проверять, что реально приходит с фронта.