Потому что, когда вы смотрите через view-source это смотрите вы — полноправный хозяин браузера.
А клиентский сценарий, это клиентский сценарий. Загруженный неизвестно откуда и написанный непойми кем.
Представьте: загружаете вы какую-то страничку, а код на ней, невидимо для вас, создает скрытый iframe и грузит туда какой-нибудь сторонний сайт на котором вы зарегистрированы. Сайт грузится от имени вашего браузера и отображает ваши конфеденциальные данные, кроме того в объекте документа этого сайта создается объект с установленными куками. Сценарий с основной страницы все это считывает и отсылает на свой домен.