BlazkowiczДа, и остаётся там в открытом виде,

Передергиваете - у ТС четко сказано
osonв БД пароли сохраняются в виде MD5

Для oson -

Передавать в этом случае hash не правильно - это сводит услиия по его генерации к бесполезным. Ибо предъявляется hash, который и хранится в БД в открытом виде.

Для передачи пароля нужно организовать защищенный канал и передать по нему пароль.
В качестве канала можно использовать, что-нибудь стандартное (https), ну или какой-нибудь велосипед (приведу для понимания):
1. Генерится пара RSA 2048 ключей.
2. Открытый ключ отдается на клиента.
3. На клиенте делается свертка "момент времени";"пароль";"номер сессии" и закрывается ключем. Отправляется на сервер.
4. Сервер. Раскрывает пароль. Проверяет сессию и время (не должно сильно отличаться и повторяться). Если все верно - проверять пароль по базе.

Соответственно надо понимать, что это помогает только против тех, кто может только смотреть в канал и не может вмешиваться, например создав фейковую страничку с запросом пароля.

BlazkowiczПередергиваете - я не ТС коментировал.

Petro123 именно ему и отвечал. На его вопрос. Как раз про то, что MD5 передавать (в БД) не правильно. Просто без пояснений почему. Но не говорил, что пароли должны оставаться где-то в открытом виде.

2 oson - передать пароль по https можно, наверное, в большинстве фреймворков.

Blazkowicz,

БД конечно разные бывают. Если СУБД сама не может проверить валидность пароля, то передавать его туда не следует. Если может - то как захочется.

Некоторые так, вообще, "третье звено" на каком-нибудь PL/SQL пишут, а другие в NOSQL вдаряются, где база это всего лишь помойка бессловесная.
Остается вслед за Соломоном сказать - и Ты прав.