essendo una pagina senza output, puoi proprio togleire tutto quello che non è php...
oppure lo fai stampare dopo aver fatto i controlli sul login...
l'importante è che prima di header nn ci sian oputput, a meno che nn usi ob_start(); in testa alla pagina, ma nn è correttissimo usarlo... diciamo che è una sorta di tappabuchi in questi casi