Napad umoznit spustit prakticky libovolny kod za ucelem prohlizeni weboveho obsahu je blaznovstvi a nekoncepcni reseni, ktere si vybira a bude vybirat svou dan. Dokud nedojde k navratu k fixni sade pravidel a parametru, jen treba uplnejsi a konzistentnejsi nez soucasne HTML5/CSS3, tak tu bude tohle zvysene a IMHO zbytecne bezpecnostni riziko existovat.
JS je tak akorat dobry pro agresivnejsi vnucovani reklamy, sireni malware, zatezovani procesoru a obchazeni neznalosti a neschopnosti webdesigneru. Tech stranek kde by si neslo vystacit s CSS by se dalo spocitat na prstech jedne ruky.
Počítat ano. Ale skutečně je dobrý nápad, aby browser fungoval na principu "celý web je aplikace, těch pár výjimek si může uživatel blacklistovat"? Já bych třeba řekl, že těch aplikací je relativně málo, takže by byl zcela ospravedlnitelný opačný přístup ("všechny skripty zakážeme, povolíme je na několika málo známých stránkách a zbytek ať si uživatel whitelistuje - dáme mu na to do UI snadno přístupné tlačítko, které může třeba zablikat, pokud kód webové stránky obsahuje skript"). Pokud má tvůrce browseru takový strach, aby náhodou uživatele od něčeho neodřízl, ať výchozí hodnotu zapnutí/vypnutí skriptu dá do antimalware filtru, který už je stejně všude defaultně aktivovaný...
Spis bych uvital moznos povypinat/fakovat konkretni kusy API. Tzn bud by proste konkretni vec nebyla dostupna vubec nebo by posilala nahodny kraviny.
BTW: Nosrtipt mam defaultne zapnutej, a nijak zvlast me to neomezuje. Kdyz cas od casu narazim na nejakou zhuverilost, ktera nefunguje bez js vubec, tak du proste o dum dal.