[shisik]

если "злоумышленник" получает доступ к БД и открывает таблицу, то он может открыть вторую таблицу и найти соответствие »

То тогда хана вашему сайту в любом случае. Если злоумышленник получил доступ к БД, то он получил полный контроль над сайтом. Никакие пароли больше не нужны. Это как «если выстрелить в голову, то можно испоортить причёску». Не до причёски, знаете ли, будет...

Запрос первично к таблицам происходит от "гостевого" пользователя в базу с целью прочесть требуемый логин и пароль, выходит, что у злоумышленника есть всегда доступ к прочтению данных из таблицы. »

Нет. Пользователь вводит логин и пароль, скрипт хэширует пароль и посылает запрос к базе типа «дай мне запись с логином X и хэшем пароля Y». Если такой есть (в случае если логин/пароль правильные) - выполняется вход в систему, если нет - база вернёт пустой ответ и скрипт сообщит об ошибке (неправильный логин/пароль). Конечно, это не единственный вариант, но в любом случае данные из базы клиенту не отправляются и обрабатываются исключительно на серверной стороне. Так что «прочесть» пользователь ничего не сможет.