あちこちで何度も何度も同じこと言われてるんだろうけど、
Authコンポーネントが勝手にpasswordフィールドをハッシュ化するから
validationが効きませんってのは設計ミス以外の何物でもない気がする