а вот вопрос:
если не отоброжаются в исходнике символа <> а вместо них кодировки.
&lt;/script&gt;alert('XSS')&lt
это считается как xss?