Anda harus memeriksa dan menanyakan database untuk kecocokan, tidak menurunkan hasilnya dan memeriksanya secara lokal. Dengan mengatakan:
$password = md5($_POST['password']);
Kemudian ubah juga:
SELECT * FROM users WHERE username='$username' AND password='$password'
Tapi saya juga akan melihat menggunakan PDO
alih-alih menempatkan nilai secara langsung dalam kueri SQL. Setidaknya Anda harus menggunakan mysql_real_escape_string
untuk menghindari serangan injeksi.