kiểm tra lại chức năng này
vì lúc này, object user sẽ không có giá trị password, validate password sẽ fail