这本身并不是“安全风险”，因为管理员可以通过FTP添加自己喜欢的任何愚蠢的PHP代码，这通常会比一些JS造成更大的破坏。如果一个管理员做了愚蠢的事情，那么你就不应该做什么，因为毕竟这是他的网站。

也许值得一提的是，插入随机JS的安全风险是什么。基本上，如果您可以将JS插入页面（在本例中通过注释），您的JS可以读取与身份验证相关的cookie并将其发送给您。现在剩下的就是“欺骗”管理员访问该页面，您就可以获得cookie，从而可以作为管理员访问该站点。

好吧，这不是一个安全风险，但听起来确实很难听，我们不能过滤掉吗<script> 对每个人来说？问题是，您可能想做一些不那么琐碎的事情，比如嵌入一个youtube视频，共享代码可能需要加载一些脚本（如果YT现在的工作方式可能是一个糟糕的例子）。

评论表单的核心缺点是，随机用户甚至可以尝试提交任何包含HTML的内容，这不仅是一个潜在的安全风险，而且对99%的用户（即使是技术上适应的用户）来说也是一个糟糕的用户体验。在一个理想的世界中，潜在的不安全的东西只能从管理端获得，但这艘特殊的船早就开航了。