Si on insert <script> alert(’gagne’)</script>

alors a la visualisation une alert pop

imaginez si le code javascript inseré est une redirection
document.location.href="pageMalVeillante.php"
une requete Ajax....