どうしても生の値をテンプレートに埋めたい場面は出てくるでしょうし、その部分はコード側でエスケープする必要がありますよね。このようにエスケープをする場所がテンプレートとコード中に散在するとXSSの有無の見通しが悪くなると思うんですよ。

出力段階でエスケープさせるのを「出口方式」とするなら、僕は「入口方式」の方を採用してます（URL参照）。「入口と出口の両方で」と簡単にいけばこんなに悩まなくても済むのに……。

http://kaede.to/~canada/doc/yoyiyayiye

ここではGETやPOSTしか触れてませんが、ENV, Session, Cookie周りやDBの戻り値などにも気をつける必要がありますよね……。

smartyのdefault_modifiersはマニュアル
http://smarty.php.net/manual/en/variable.default.modifiers.php
にも記述がありました。まったく見逃してました！反省

Smartyは「$default_modifiers」というのを使って、デフォルトエスケープにすることはできます。で、エスケープしてほしくない時は{$hoge|smarty:nodefaults}とすることになります。

ただし、{foreach from=$from item=item}の$fromをエスケープしようとしてエラーがでたりと少々わずらわしいというのはあります。（{foreach from=$from|smarty:nodefaults item=item}としないといけないです）

フレームワークでいうと、Ethnaはエスケープ済みがデフォルトでした。（たしか）

Smartyだと、フィルターで全部エスケープされるようにしておいて、したくないのだけ逆に {$hogehoge|unescape}とか作っておけばいいんですかね。

ふと思ったのが「テンプレートシステムはデフォルトでエスケープするべきじゃなかろうか？」ってこと。

これ、激しく賛成ですね。
でも現実としてそうなってないし、やっぱりWebアプリ側でちゃんとしてあげるしかない気がします。
でも、inputとoutputの両方でデータのチェックして、正当性をWebアプリが保障するのは、「PHP」とか言っている時点で相当メンドウな作業ですね（開発・メンテナンス全般で）。
世の中、そうそう上手くできてませんです。