Das 1. Beispiel ist genauso kritisch wenn die Eingabe nur per POST übergeben wird.
Muss das Scriptkiddie ja auch nur eine entsprechende Form bauen die auf die Seite weiterleitet und die Parameter per POST übergibt.
Hier wird beispielsweise erklärt wie sowas im einfachsten Falle aussehen kann.
Für den User ist das sogar noch undurchsichtiger, weil er auch über die URL nichts ungewöhnliches feststellen kann...
Das 3. Beispiel ist eher kritisch bei naiven Usern, die irgendwas in die Console pasten, weil es ihnen so gesagt wurde....
Sagen wirs mal so, allein das so etwas existiert sagt doch schon aus wie viele darauf schon reingefallen sind...
Gruß,
Martin