Grazie Alhazred, sì ho dato uno sguardo alla documentazione ma comunque non riuscivo a capire benissimo.
In pratica se in sessione non sono settate le chiavi "username" e "password" (perché magari sono arrivati campi vuoti dal form precedente), mette comunque dei campi vuoti in $_SESSION?
E questo serve per avere comunque un valore nella sessione, giusto?