я правильно понимаю, что никакого серверного скрипта ты использовать не можешь, реальную защиту, следовательно - тоже?
То есть, если пользователь один раз зайдёт по паролю и будет знать адрес страницы на которую его перенаправят, то дальше он сможет обходиться без пароля.
Я правильно понимаю - тебе именно это надо?