En javascript ocurre que no se puede montar un sistema 100% seguro. Primero porque cualquiera que pueda ver el código (cualquier usuario) y entenderlo (menos, pero hay bastante gente) puede saber el usuario y contraseña correctos. La condición última para "dejarte pasar" será algo como:
Código PHP:
if( campoNombre.value=="paco" && campoPass.value=="hola" ) {
redireccionar("accesoValido.htm");
}
else {
redireccionar("accesoInvalido.htm");
}
con lo cual se ve claramente que el nombre de usuario y la pass asociada son "paco" y "hola" respectivamente.
Y aunque lo consiguieras ofuscar (con una encriptación MD5 por ejemplo), siempre se puede ir directamente a accesoValido.htm y ahorrarnos los formularios...
Como ves, no hay manera. Lo unico que consigues es molestar al individuo y rechazar aquellos que no saben/no quieren investigar el código.