Al leer sobre XSS y la Política de seguridad de contenido (CSP), todo parece indicar que es importante estar atento y tener cuidado si hay contenido generado por el usuario que sea visible para otros usuarios, como publicaciones o comentarios. En el caso de un sitio web en el que el usuario no puede guardar contenido autogenerado, ¿sigue siendo importante configurar CSP por otras razones/posibles fallas?
En primer lugar, defiende contra situaciones en las que no pensó que el contenido del usuario podría ejecutarse como parte de su HTML.
En segundo lugar, JavaScript de terceros podría provocar cargas de página no deseadas.
Yo lo pondría de todos modos. No hace daño restringir las cargas de lugares desde los que no desea cargar de todos modos.