Ну тут больше речь не об возможностях управления через интерфейс, а об удобном инструменте для разработчиков, быстро интегрировать комментарии в свои модули. На месте разработчика модуля я бы все равно сделал настройку для включения/выключения комментариев. Вполне возможно что он захочет реализовать какие-нибудь хитрые правила комментирования, возможность исправления комментариев и т.п.
 
С пунктом 3 я пока не знаю что делать. Теоретически, эта уязвимость позволяет просматривать подзамочные комментарии. Так что либо не выводить текст комментария на который отвечают, либо придумывать какое-то решение.