登陆手续是程序管理的，但程序是人写的。开源的程序是因为开放，有人监督，所以不能做手脚。这一段密码验证的程序是馒头写的，没有公开程序，所以不能保证他没有做手脚。你所谓的“XJ不知道密码是完全可信的”是建立在他是一个值得信任的人基础上的。但是他骗取密码和不公开代码本身就说明了他不是一个可以信任的人。
并非是管理人员就可以知道他想知道的东西。如果你直接使用开源代码，管理员就不知道用户密码。要想知道必须用steve所说的方法攻击，或者用馒头的方法行骗。
我宁可相信你是没看懂所以再解释一遍。尽管这件事本身说明无缘由地相信别人是一种缺点，但是我目前想不出你能做出什么让我在意的事情来。