אם בXSS אתה מתכוון לCSS אז זה בכלל לא חסום... הרגע הכנסתי לך
<style>body{display:none}</style>
וזה בהחלט עובד
עכשיו ראיתי גם שעשית את הבדיקות בPHP... תמיד כדאי לבדוק עם JS ככה הנתונים נבדקים לפני השליחה ואז המשתמש לא מאבד שום דבר שהוא מילא בטופס כי שגיאה קטנה שעושים וצריך למלא הכל מחדש זה בהחלט מעצבן