che senso ha far fare il redirect al client invece che usare un semplice header('Location: login.php')
Vere le osservazioni su javascript disabilitato, però nota che anche un header('Location: login.php') viene eseguito dal client: il server può solo costruirlo ed inviarlo al client, esattamente come per uno javascript.