Чем грозит выполнение javascript на сайте?

Question

[askogorev]

Пользователь может написать html+js код и запустить его как отдельная страница на сайте через специальную ссылку.
Какие негативные последствия от этого могут быть?
Стоит ли разрешать такой функционал?

Answer 1

[SilentFl]

это xss, и последствия могут быть печальны: украденные пароли, личные данные пользователей, ddos на другие площадки и т.п.

Answer 2

[Sergey Romanov]

Если это нужно на сайте то можно. Есть же jsfiddle, jsbin, codepen, ... Все они делают это. Просто нужно запусктать скрипт в сэндбоксе. Есть технологии при которых это можно организовать. Но как @SilentFl сказал всегда есть риски. Поэтому вы должны точно знать что делаете, как защититься. Здесь нужно доверится профессионалам, и тестирование по жесткой, лучше что бы это сделали хакеры или специ по xss.