Ejemplo:
Tengo declarada la variable de inicio $_SESSION["usernombre"]... todo ok...
Ahora... se puede hacer un select a la base y poder sacar el pass para ese cliente??? como dices se necesita coneccion directa a la base de datos... es decir que sin coneccion de nada sirve ver las variables verdad?... si es asi... bien por eso...
Con respecto a la otra parte... Creo que jamas podremos saber si el user tiene js activado
lamentablemente es algo con lo que no podremos lidiar, espero que el uso de navegadores que no usen js o q tenerlo desactivado no vaya a causar problemas, supongo q ahi cada uno tendra q ver las necesidades de seguridad.