Слушайте, я пока тоже только в теме, но заметил, что просто кликами проверить — это мало. Иногда помогает просто порезать вводы форм на странные символы и посмотреть, что происходит. Ещё пытаюсь смотреть ошибки в консоли и проверять, как сайт ведёт себя при неправильном логине — без этого точно потом проблемы вылезут.