Зачем во избежание XSS нужно указывать на каждой странице кодировку, если злоумышленник все равно может изменить ее?

sorry_i_noob, так уязвимость-то должна сработать на стороне жертвы, там, где есть уязвимые данные.