このコメントは、アドレスバーからGETメソッドで無理やり送ったもので、名前やハッシュにつけた引用符もそのまま送信されちゃったみたい。データベースにはハッシュが引用符つきで登録されているはず。なので、修正時には、その引用符つきのハッシュと照合させて、成功した。
そういうわけで、送るのがパスワードでもハッシュでも、大して差がない気がする。

　GETで無理矢理送信しても照合出来るのか‥‥
そもそもこんなイベントサイトでパケットの傍受でパスワードが見られたら云々‥‥ってのはやりすぎで、利便性重視にした方がいいんでしょうかね。

パスワードのハッシュを保存するのは悪くないと思う。通信の暗号化は別の方法がありそう。セキュリティはよくわからない。
利便性というよりはアクセシビリティに近い？JavaScriptで便利になるけど、それなしでもそれなりの機能が使える、というのが理想でしょうね。