Нужно это вот для чего. На сайте есть форма для текста.Там стоят проверки в html на символы, против xss. Но они на стороне клиента. Поэтому я могу их выпилить. Аналогично, есть ещё доп. защита в виде обработки текста с помощью javascript. И тоже на стороне клиента. Соответственно, подредактировав его - я смогу запостить xss.