perchè $username e $password sono comunque TRUE.

anche se $username è errato ha comunque un valore , quindi TRUE.

hai capito l'errore?