if (md5($data['password'] == $user->password) ) {if (md5($data['password']) == $user->password ) 
php://input недоступен с типом содержимого enctype="multipart/form-data".
$param = $_POST["param"];$json = '{"a":1,"b":2,"c":3,"d":4,"e":5}'; //вот это может декодировать функция
$data_json = json_encode($_POST);
json_decode($data_json);
<script> перед закрывающим тегом </body>, либо весь код внутрь обработчика DOMContentLoaded. 
по каким признакам опытные программисты могут определить, что делать с этим проектом?Ищем то, что является точкой входа и отвечает за роутинг и погнали оттуда вглубь. Если проект самописный, то эффективным может оказаться пройти весь стек вызовов через XDebug - файлов, скорее всего, будет немного.
