Usi il metodo post mentre nella url usi il metodo get. Di più non vedo alcun bottone di tipo submit. Il richiamo alla funzione validalogin dall'evento onclick non serve. E' solo quello legato all'onsubmit che permetterà o impedirà il richiamo alla pagina di login.