Yoti, это действует только на стили.
Вот допустим последний рассматриваемый HTML-код:
<span style="float:left; margin: 0 20px;">
это
<br/>
вообще
<br/>
прикольно
</span>
Как видишь,
<span> - предназначен для определения строчных элементов документа. В отличие от блочных элементов, таких как <table>, <p> или <div>, с помощью тега <span> можно выделить часть информации внутри других тегов и установить для нее свой стиль. То есть, это действет только на текст и составляющие в части оформления внутри предложений, где перенос категорически не уместен. А если бы я вставил <div>, то это обязательно переносит заключённый в тег текст на новую строку, чего нам не требуется.
<span style="float: {option};"> - это как раз влияет только на стиль оформления. В bb-коде подставляется то, что мы вставляем вместо значения
{option}, мы подставляем, куда отобразить текст или картинку или всё, что угодно.
Здесь да, я использую хитрость, что подставляя просто left в этот код, вместо {option}, можно добавлять ещё параметры, которые понимает функция
float, она и отвечает за расположение в пространстве. То есть, я туда вставляю не просто left, а
left; margin: 0 20px;
и получается уже не просто
<span style="float: left;">, как задумывалось в BB-коде,
а вот такое
<span style="float: left; margin: 0 20px;">. Туда можно через точку с запятой добавлять и ещё разные параметры, не только margin, но работать будут только те параметры, которые поддерживаются тегом float. А margin я вставил для того, чтобы сделать отстпуп на 20px по горизонтали справа и слева.
Поэтому сомневаюсь, что даже если туда вставить злостный скрипт, то это как-то сможет сработать.
Абсолютно то же самое происходит с другими тегами в шапке темы, как параметр:
<div style="background: {options};"> - тут свойство
background может иметь большое количество опций и подопций, как вставка цвета, картинки(ок), расположения, наложения, прозрачности, и т.п. и т.д.. А в свою очередь эти подопции, каждая имеет ещё свои опции. Тут сам чёрт ногу сломает.
Но опять же, тут мы только действуем на свойство
style background, а это действует только на стиль отображения. Если вставлять в параметр {options} какой-то левый вредоносный скрипт, то он в стиле просто не задействуется.
Хотя, возможно это и опасно, но я не предполагаю, как это можно замутить.