>>90
あくまで憶測、だが…

１．変数を空文字列に初期化
２．入力されたIDをキーにして、DBから登録されているパスワードを検索
３．取得できたパスワード文字列変数に代入
４．変数に入っている文字列と入力されたパスワードが一致したらOK

という仕掛けだったとすると…

１．変数を空文字列に初期化
２．空IDで検索して該当無し
３．DBから取得できなかったので代入はスキップ
４．変数に入っているのは空文字列で、入力されたパスワードと一致！

となったりしそうな。