Hi,
ich verstehe das Problem nicht.
Frage Username und Passwort vom User ab. Schau in der DB nach.
Mit: SELECT id FROM user WHERE username = EINGEGEBENER_USERNAME AND password = EINGEGEBENES_PASSWORT
Wenn du da genau 1 Ergebnis bekommst, ist der USer richtig eingeloggt und das Ergebnis ist auch gleich die ID.
Wenn der User mit Cookies eingeloggt beliben soll, speichere da nicht das Passwort sondern eine Session ID oder sowas.
Dann lässt du halt id, username ausgeben.
Jedenfalls musst du mysql_real_escape_string verwenden um die Usereingaben (auch das was ausm Cookie) kommt zu entschwärfen, dass keiner eine Injection machen kann - niemals einfach irgend eine Eingabe ungeprüft übernehmen.
Das Passwort sollte außerdem verschlüsselt gespeichert werden - dann kann der Admin nicht einfach alle Passwärter der User auslesen.
Gruß
Alex