Таким образом, если кто то не сможет увидеть пароль в адресной строке у него есть много других инструментов сделать это. Включая прокси и другие промежуточные сервера, на которых всегда можно получить эти данные.

Я считаю что безопасность в первую очередь зависит от того как обрабатываются данные, а не о том откуда они получены. Тот же популярный вордпрес смешивает все параметры в единый массив, что пост, что гет.