HTML+CSS+JavaScript

есть поле в которое вводится допустим имя, которое потом сохраняется в БД и затем выводится!
Например пользователь ввел имя: Сергей
А если пользователь вместо именни ввел запросы JS, например ввел: <script>alert("сообщения")</script>
Следовательно, когда имя будет выводится на экран выполнится скрипт!

1. на сколько опасны могут быть такие скрипты, которые можно вводить в поле?
2. как лучше проверить наличие скрытых команд в введенном тексте, при этом сохрнить возможность ввода HTML разметки.

Лучше проверять и удалять на сервере. Ну и htmlspecialchars().