Le mot de passe n'est pas vérifié en BD, ce n'est pas l'objet du sample. Il n'est en outre pas stocké dans les variables de session cela ne devant jamais se faire.
Les champs du formulaire sont passés via la méthode de formulaire GET afin de visualiser leur contenu à des fins didactiques, en production et pour des raisons de sécurité évidentes, il serait préférable d'utiliser la méthode POST ou un appel ajax.