Смотря чего и куда вставлять. JSON сам по себе это транспорт — если юзер в комментариях вобьет XSS, то он честно будет передан через json заэскейплен и все такое, но как только его, как кусок html, вставят в текст страницы, то тут он и будет кусаться.
Опять же если возвращать форму заполненную пользователем, ему же и обратно — да на здоровье пусть хоть что вставляет. А вот в публичный доступ — уже не хорошо.