В топике добавил инфу, что пользователи затираются.
Если вы с морды в профиль сумели зайти — значит вы были авторизованы. Пароль не спросил старый — это норм, так и задумывалось. Куча сайтов есть, где особо защищать нечего, а все эти излишние навороты только жизнь пользователю усложняют. На конечных проектах, если кому-то понадобится, не сложно дописать проверку.