Я бы посоветовал попробовать отключать показ картинок в браузере. Потому что большя часть Xss на этом и строится как раз. Вспомните пример взлома Чата мэйл.ру от скальпеля. Чтобы защититься от того конкретного примера, можно было просто отключить графику