回答編集履歴

  私は、サーバ側には生パスワードを送信すべきでないと思います。

  「クライアントのJavaScriptは公開される以上、「パスワードを直接サーバに送る」より強固なセキュリティを確保することは困難」であったとしても、クライアント側でハッシュ化するのは意味があると思っています。それは、サーバ側に立った場合、生パスワードを知らないという事実が重要になるケースがあると思うからです。

  パスワードが漏れるのはDBであるとは限りません。サーバの至る所で漏洩元になる可能性があるのです。生のPWを送ってしまうと、サーバ側でハッシュする前の段階で、例えばアクセスログなどにPWを出力してしまうなどやらかしてしまうかもしれません。クラッカーはログファイルを入手すればいいわけです。