Вы уверены, что не храните хэши паролей?
Кроме того, не используйте эту уродливую функцию, используйте связанные параметры. Это чище и лучше.
Обновление:
no
возвращается в случае сбоя следующего условия:
if (isset($_POST['username']) && isset($_POST['password']))
, независимо от того, что происходит в MySQL
.
Убедитесь, что установлены обе переменные.