Acho que a correspondência de senha pertence à interface do cliente e nunca deve chegar ao servidor (a camada de banco de dados já é demais). É melhor para a experiência do usuário não ter uma viagem de ida e volta ao servidor apenas para informar ao usuário que 2 strings são diferentes.

Quanto ao controlador fino, modelo gordo... todas essas balas de prata por aí devem ser atiradas de volta no criador. Nenhuma solução é boa em qualquer situação. Pense cada um deles em seu próprio contexto.

Trazendo a ideia do modelo gordo aqui, faz você usar um recurso (validação de esquema) para uma finalidade totalmente diferente (correspondência de senha) e torna seu aplicativo dependente da tecnologia que você está usando agora. Um dia você vai querer mudar de tecnologia e chegará a algo sem validação de esquema... e então você terá que lembrar que parte da funcionalidade do seu aplicativo dependia disso. E você terá que movê-lo de volta para o lado do cliente ou para o controlador.