Да, htmlspecialchars реально спасает от базовых XSS, но лучше на всякий случай добавлять CSP — это как страховка, если что-то проскочит. И да, клиентскую проверку нельзя считать надежной, всё надо дублировать на сервере.