Da verwechselst du aber IDN mit dem Pfad-Teil. Die Darstellung von IDNs kannst du im Fx über about:config definieren.
Siehe Paypal-Beispiel von http://www.shmoo.com/idn/
Das hat mit den Pfadangaben aber recht wenig zu tun.
Und selbst wenn eine Seite derart dämlich implementiert ist, dass sie den Usern erlaubt unter frei definierbaren Pfaden beliebigen HTML-Code abzulegen, der (nur) die Nutzer dieser Seite in eine Phishing-Falle locken soll, so sehe ich da keinen essentiellen Gewinn durch die Änderung einer Kodierung.
Es müsste Folgendes möglich sein:
reale Login-Seite
http://example.org/login-page/login.html
ein beliebiger User müsste dann in der Lage sein eine Seite zu erstellen, deren Pfad optisch identisch aussieht
http://example.org/login-page/login.html
und beliebigen HTML-Code zulässt.
Du möchtest nun, dass der Pfad stets kodiert angezeigt wird, was aber wenn ein User seinen Pfad so wählt:
http://example.org/login/login.html
Ist das dann weniger "überzeugend"?
Eine Seite die solche Konfigurationen durch die User erlaubt, macht grundsätzlich etwas falsch, was nicht durch die Art der Kodierung der URL im Browser kompensiert werden sollte.
Btw. andere Browser verhalten sich übrigens identisch, bspw. Opera.
