[devote]

Но ведь код может быть и не таким безобидным?

ну дык замените в нем спецсимволы:

<script>
var ent = prompt("Введите код", '');
document.write(ent.replace(/</g, '&lt;').replace(/>/g, '&gt;'));
</script>