Volendo si può forzare il submit da js all'incirca cosi:
codice:

<form name ="login" action="login.php" method="post" onsubmit="return false;">                        
      <label>USERNAME<input type="text" name="username"></label><br>
      <label>PASSWORD<input type="password" name="password"></label>

            <script type="text/javascript">
            function mostraMessaggio() {
    window.alert("Non hai i permessi per questa sezione");
    }
</script>
            <input type="submit" name="login" onclick="mostraMessaggio()" value="INVIA">
        </form>


<script>
function mostraMessaggio(){
if(qui-esegui-i-controlli){
alert("errore....")
}else{
document.login.submit()
}
}</script>
ripristini onclick e blocchi il submit a false (così il form non viene eseguito) se i controlli sono corretti forzi il submit()