scusami ma i $_POST['username'] da dove lo prendi???

SELECT password, email FROM `user` WHERE username = '$_POST[username]'

così prendi i due campi con una sola query

e poi l'email credo che arrivi in SPAM