Хе, а как сделать так?

Вопрос детский, и он касается cf-людей. А чё делать-то, чтобы предотвратить запуск обыкновенного <script>alert("Йо!")</script>, переданного в качестве параметра без значения в URL.  Без всяких там .htaccess?

Ну вот так вот, например:

index.cfm?<script>alert("Йо!")</script>