Введенный код в prompt()

[falsenull]

Так было задумано создателями языка?

var ent = prompt("Введите код", "");
document.write(ent);

выполненный код вызовет окно prompt и запишет полученные данные на страницу. Но JS не только запишет полученные данные, но и выполнит код введенный в prompt, например примитивный <script language="JavaScript">alert("lol");</script>. Так и должно быть?

[Skipp]

Естественно.

[B@rmaley.e><e]

А что, в этом, например, случае такого произойти не должно?

document.write('<script>alert("lol");</script>');

[falsenull]

Но ведь код может быть и не таким безобидным?

[devote]

Но ведь код может быть и не таким безобидным?

ну дык замените в нем спецсимволы:

<script>
var ent = prompt("Введите код", '');
document.write(ent.replace(/</g, '&lt;').replace(/>/g, '&gt;'));
</script>

[Magneto]

Но ведь код может быть и не таким безобидным?

Ты боишся что пользователь сам на себя произведет XSS атаку? Стырит свои же куки и зайдет на твой сайт под своим же именем.

[devote]

Ты боишся что пользователь сам на себя произведет XSS атаку? Стырит свои же куки и зайдет на твой сайт под своим же именем.

[B@rmaley.e><e]

Но ведь код может быть и не таким безобидным?

Какой код? А сама возможность вызвать document.write безобидна?

[Джэксон]

Да. Он изменит страницу для себя. Для других пользователей она останется прежней.