Ma questo è un problema di log-in: che c'entrano gli XSS??

Inoltre, per:

Poi scopro che è possibile, da pagine interne al dominio, leggere i cookie degli utenti che passano.
Immagino che intendessi che tramite sniffer è possibile intercettare il traffico di rete (LAN). Giusto?
Se quindi la tua paura è questa, il controllo dell'IP è assolutamente inutile, in quanto, sempre all'interno di una stessa organizzazione (LAN), in genere* il gateway è uno e tutti "escono" con lo stesso IP.

(*) non nego ciò che dice luca200, solo dico che --in genere-- l'IP è uno.

Quindi: il controllo dell'IP dà falsi positivi e falsi negativi. In genere in pratica non serve ad un fico secco