Per come hai scritto il codice, mi sembra corretto...
Io verificherei che:
- $pwd sia ciò che ti aspetti
- $id e $pwd siano effettivamente correlati
- e soprattutto se salvi correttamente nel database la password ($dupwd è corretta?)