[kostyanet]

Такое понимание не редкость, в реальности все в точности наоборот. Ява-скрипт всегда выполняется локально и хтмл для программиста - единственный средство построить интерфейс. Возможность скрипта общаться с каким-то там сервером - особая и специальная и разрешается только в случае когда браузер точно знает что скрипт загружен с такого-то домена. Во всех остальных случаях, и, кстати, при локальной работе с канвасом, такие транзакции запрещены, Это абсолютно логично, если понимать что сервер - просто _другой_ компьютер, с которым не налажены отношения. Допустим если вы запустите виндовый скрипт (WScript) в локальной сети он будет пользоваться всеми теми разрешениями и политикой, которая сконфигурирована для локальной сети. А в отношении сервера из глобальной сети нет никакой другой политики кроме запрещено все что сервер не разрешил.

То есть скрипт в браузере никто и звать его никак. При чем тут средства защиты от каких-то там модификаций, если любой такой скрипт уже существует для модификации хтмля? Словом это не порок, а сущность скриптов в браузере как в программе. В любой другой которая предоставляет API для скриптов - бейсика, ява- или там епл-скрипта - эквипенисуально.