Naja, lag ich nicht ganz so falsch.
Hier noch ein paar Anmerkungen:
1) In die include Datei kommt eigentlich nur die Überprüfung ob der User eingeloggt ist (Session-Gedöns).
2) Falls er nicht eingeloggt ist, wird zur login.php weitergeleitet, wo sich die Login-Prozedur abspielt.
3) Code ist leichter zu lesen, wenn man ihn vernünftig einrückt (und in logische teile zergliedert = siehe 1+2)
4) Mittels Mysql-Inction habe ich deinen Login in wenigen Sekunden ausgehebelt.
BTW: Der Thread wird aus genau diesem Grund nicht geschlossen, damit thematisch verwandte Fragen noch hier gestellt werden können. Die kommen sicher noch auf, falls du auf 1-4 noch eingehen willst.