Форуми / National / Russian / Вопросы и пожелания к движку

У меня вопрос по безопасности. Я зашел на форум и увидел что там разрешены html теги. Лет 10 назад я читал про безопасность движков, что html для всех это бооольшая дыра в безопасности. что все фильтры можно обойти составив конструкцию из символов типа @ @ Вот я попробовал и собаку он схавал, она стоит вначале предложения, значит и скрипт вредоносный должен схавать? Я не спец, объясните так ли это... Ведь bbcode не зря же придумали.