Tady to zkontroluje login, kterej dostal z post formuláre

session_start();
include "config.php";
dbconnect();
if(isset($_POST['submit']))
{
    $_SESSION['user_id']=null;
    $user=$_POST['username'];
    $pass=$_POST['pass'];
    $query=mysql_query("SELECT * FROM users WHERE username='$user' AND pass='$pass'") or die (mysql_error());
    while($row=mysql_fetch_array($query))
    {
        $_SESSION['user_id']=$row['id'];
        $_SESSION['user_lvl']=$row['userlvl'];
    }
}

a tohle se stane nad tim formulárem kdyz je spatný heslo nebo jméno

                if(isset($_POST['submit']) && $_SESSION['user_id']==null)
                {
                    echo "Špatné jméno nebo heslo";
                }