現状ではユーザのパスワードは平文(plain text)になっており,管理者からは丸見えです。万が一データベースの中身が流出してしまうと,全ユーザのパスワードが全世界にばらまかれることになります。
現在のシステムでは,パスワードは必ず暗号化したものを保存しておき,管理者も平文パスワードが読み取れないようにしておくことが普通です。
以下,Node.jsのbcryptモジュールを用いて,暗号化したパスワードを使えるように,ログイン部分を改良したスクリプトを示します。どこが変更されているかは先生役の人が説明するようにして下さい。