команды в flv просто так исполняются?
 

Заметил, что большинстве файлов flv есть строка onMetaData и куча данных.
onMetaData - oчень похоже на название метода.
Вопрос : могу ли я злонамеренно создать файл с вызовом других методов и аргументов и что-нибудь плохое сделать типа украсть cookies ?

Спрашиваю чтобы удостовериться, что размещать на сайте плеер с возможностью показывать любые flv-файлы - это безопасно.

onMetaData это не какой то там метод зашитый в флв файл, а обработчик вызываемый когда проигрыватель читает из файла метаданные. Читайте внимательней спецификацию и документацию

То есть ничего плохого сделать нельзя и то, что onMetaData это и название метода и строка-маркер в файле - просто совпадение?
На эту мысль меня натолкнули ужасная буферизация при просмотре видео при включенном Drweb SpiderGate. Я просто не понимаю зачем тогда проверять видео, если там нет "активного контента".

Он проверяет всё, вне зависимости от того, активный ли это контент или нет.