Wo genau fängt js eigentlich an?
In den Werten der Eventhandler-Attribute (@onmouseover etc.).
Still und heimlich wenn man es nicht weiß. Lauern dort schon js-spezifische Gefahren (von Gefahren für Layout, Benutzbarkeit u.s.w. abgesehen), sprich potentielle js-spezifische Sicherheitslücken?