il codice javascript viene eseguito lato client.

Lo script viene eseguito lato server.

Quando stai eseguendo lo script, e quindi controlli ciò che l'utente ha inserito, un eventuale codice javascript è solo una semplice stringa che non ha nessun potere.

Acquista potere solo quando lo stampi eventualmente a video!

Ma se tu controlli la stringa e trovi un errore e stampi a video un messaggio d'errore non c'è nessun problema, perchè, come dicevamo prima, il codice javascript è eseguito lato client!