Se i dati arrivano correttamente, e la query non da errore, forse il where è falso (username e password sono corretti?) e comunque rimuoverei quelle inutili parentesi