[JavaScript]Bezpieczeństwo kodu w iframe Opcje

[viking]

Tak mnie jedna rzecz nurtuje, czy można wykorzystać w jakiś sposób fakt same origin policy wewnątrz iframe? Albo jakieś inne zagrożenie?

Strona dodaje dynamicznie iframe po wykonaniu akcji. W ramce znajduje się kod przetworzony przez parser JS (z textarea) w którym można wykonywać chociażby href=java script:. Oczywiście po wysłaniu formularza do serwera całość z pierwotnego textarea jest przetwarzana w PHP i wyświetlany w dalszym etapie na stronie jest już przeczyszczony kod.

Czyli, użytkownik wprowadza sobie do textarea kod, kod ten trafia do iframe i na tym etapie w iframe może wylądować niebezpieczny kod, dalej jest czyszczony i wyświetlany już bezpieczny.