[laimas]

сервер может вернуть код который тут же исполнится без callback(ов)

Возможно, к тому и речь - либо ошибка "обернутая", либо код. Первое, значит не разрешен доступ, хотя браузер при этом должен был сообщить.