Hola:
Si se envía el formulario es porque hay un botón del tipo submit, y el envío no se cancela...
Si quieres que también funcione sin javascript (siempre se puede inhabilitar), tienes que poner en el tag form:
onsubmit="return validar(this)"...
El secreto es que dentro de la función validar siempre debes terminar con return false, y el resto del cuerpo de la función, las validaciones javascript, y si las pasan, hacer la petición Ajax (supongo que para chequear usuario y/o password...)
Saludos
