Code:
if (isset($_POST['btn-login'])) {
Wenn ich die Zeile richtig verstehe, dann wird nur eingeloggt, wenn das tatsächlich über eine Komponente (vermutlich Button) mit der id btn-login geht.
Das wird meiner Meinung nach sehr hacky und unsicher. Du musst btn-login also auch noch mitschicken.
SSL sollte, selbst zum Testen, oberste Priorität haben. Du schickst schließlich heikle Daten übers WWW.