creo yo que no deberias traer la contraseña ni tapandola con *, ni encriptandola con x funcion, ni nada, entre menos veces traigas la contraseña mejor.
Si haces una pagina de esas para cambiar contraseña nisiquiera alli deberias traerla sino que el usuario deberia escribirla, pues se supone el la sabe y solo en ese momento de comparar la que escribio con la real alli traerla, si no es entonces borrar la variable que tiene el pass, cerrar conexion y que vuelva a escribirla.
Eso creo yo
