la seconda porzione di codice si trova nella stessa pagina? se non è così è chiaro che nondevi usare $username come verifica ma la variabile di sessione memorizzata $_SESSION['auth']