Валидный JSON XSS вызвать не может, а json_encode выдаёт, конечно, валидный. Другое дело, что вы с этим JSONом дальше дальше делать будете — если выводить на страницу, то надо не забывать эскейпить самостоятельно.