Вопрос насчет пресловутых XSS:
какой смысл красть кукизы - если пасс от email никак не узнать, можно лишь читать письма пока жива сессия?! для смены тех же личных данных нужно знать текущий пасс

поправьте меня если я не прав...