アメブロ

javascript普通に実行できるのマズくない？と思ったけど、

「投稿用と表示用でドメインを完全に分けてる」

んだなー。乗っ取るセッションがないということか。
確かにログインしててもしてなくても、表示側（http://ameblo.jp/akkunchoi/ とか）は見た目が同じだ。クッキーが違ってたのはアクセス解析用かな。

勉強になった。他のブログサービスもそうなんだろうか。
なんか力の差を思い知らされたよ。