Die Anmeldung wird serverseitig geprüft. Das Passwort wird nur als Hash außerhalb des Webroots gespeichert.