sicuramente l'hai fatto, e magari dico una cosa scontata, ma, hai provato con "var_dump" (nel metodo login) per vedere i valori di $pwd e $res[0]['password'] ?