Да, расскажите нам, почему вы разрабатывали серверную часть на ASP.NET, почему не работать прямо с сиквелом?

Честно говоря, не вижу разницы между "узнать пароль к СУБД", и "узнать пароль к серверу приложений"

Много-уровневая архитектура действительно секюрней, но не потому, что там "нельзя узнать пароль", а потому что увеличение количества слоёв защиты усложняет эксплуатацию ошибок, допущенных разработчиками и администраторами.

Второе преимущество (для секюрити) дополнительных уровней состоит в том, что там для конечных пользователей реализуют упрощённую модель защиты, что уменьшает накладные расходы
Например, в секюрити модели для мемберов SQL.RU нет универсального маппинга пользователей на все типы объектов в ИС (скажем, не нужно распределять права DYUMON-у на alter index для каждого индекса). Достаточно минимального набора прав для некоторых типов.
Из за этого проверки доступа выполняются быстрее, и управлять ими проще.

Эээ, пароль в строке коннекта к аппсервису зашифрован, и просто так его не узнать.

А пароль к СУБД хранится в открытом виде, поэтому его можно посмотреть в редакторе. А если он зашифрован, то его всё равно можно отдебажить?

Вам не кажется, что тут есть какое то противоречие? :-)

Разумеется, пароль для доступа к ресурсу всегда открыт со стороны клиента, это по определению, независимо от того, к СУБД у вас коннект, или к серверу приложений.

Не вижу никакой разницы, при просмотре пароля в EXE-шнике, какие технологии используются на стороне сервиса, к которому приложение делает коннект. Как он называется, на каком языке написан, является ли он сервером СУБД, или самодельным сервисом на жаве.

Дизайнеры тут при чём? Их не всегда ставят в известность, каким образом будет отдаваться html клиенту.