Логін очікує рядок, але JSON дозволяє прислати обʼєкт. Підсунь оператор замість значення - і умова добору користувача зламається. Порівняй з версією, що зводить ввід до рядка