PHP_SELF tiene solo il nome della pagina non le variabili GET, per mantenere anche quelle devi utilizzare un REQUEST_URI, quindi l'action del tuo form è sbagliato, oppure esegui in un altro modo il redirect

Poi scusa ma quel $username e $password da dove arrivano?