user e pass non li prendi da $_POST ?