Не считая того, что основное направление атаки — через JavaScript…
А потом люди спрашивают, а зачем мне в браузере NoScript и включение скриптов только по белому списку?