Чёта слышал есть ПО оно както чекает XSS - атаку на последнем рубеже, ну то есть когда хацкер обошел все фильтры и барьеры и уже после генерации HTML оно есчо раз проверяет?

Кто знает алго?

Content security policy, только это может както повлиять

Ну и HTTPONlY тоже не брезгуй.