返回js代码的api问题

今天属下开发时遇到一个调用第三方api的问题，开始时他用的ajax直接访问，发现完全没有发出api请求.
我提示了一下使用getJsonP，测试发现api请求发出去了，但是没有调用回调函数，我们看了一下返回内容，返回内容不是jsonp要求返回的格式，而是一段js代码
那么我们只能使用 jqury.getScript来执行这段代码，这样就成功调用了api
但是这种调用方式感觉非常不安全，很容易引起Xss注入