prima controlli se password OR user sono vuoti

e poi ti basta fare un OR
se la password è sbagliata OR la user è sbagliata non entrare