Da dove viene elaborato lo snippet o Javascript quando lo inseriamo nella casella di input della pagina HTML o di qualsiasi URL?
Va sul server e torna indietro o il browser lo elabora?
Does it go to the server and come back or does the browser process it?
In realtà, entrambi. Quando si inseriscono alcuni dati in un campo modulo e lo si invia, il server esegue qualcosa con questi dati (in genere lo salva in un database). Se il dato contiene codice Javascript, al server non interessa, lo salva come se fosse un testo normale (ricorda che Javascript è una lingua lato client, il server non può eseguirlo).
Quando si desidera visualizzare queste informazioni che sono state salvate nel database, il server invia i dati richiesti all'utente. Questi dati sono gestiti dal browser, che si preoccuperà di rendere la pagina web. Se i dati richiesti contengono codice Javascript, questo verrà eseguito in questo momento.
Leggi altre domande sui tag xss