PragmaticProgrammer

rest - размытая штука, в ней нет высеченных в граните правил.
если вам нужен статус в ордере, то и отдавайте его вместе с ордером.

Пароль на сервер приходит в основном в открытом виде, можно конечно и на клиенте его перегнать в какой-нибудь sha512, но смысла в этом не очень много, оно скроет пароль в открытом виде от перехватчика, но от получения доступа не спасет. Https - единственный и самый лучший способ защиты от перехвата.

$('button').click(function(e) {
valNew = $(this).index()+1; // тут хранится номер кнопки первая нажатая = 1 (если уберёте -1 то будет =0
});