Авторизация ajax php

Есть такая проблема, если логин и пароль не правильный, то в блоке выводит неправильный логин и пароль, но если правильный, то в этом же блоке, появляется дубликат сайта, почему так, если в php коде, я написал переадресацию?

HTML:

1. <p>Вход на сайт</p>
2.     <form method="POST">
3.         <div><label><span>Логин</span><input class="login" name="login" type="text"></label></div>
4.         <div><label><span>Пароль</span><input class="password" name="password" type="password"></label></div>
5.                          
6.         <input type="submit" class="auth" name="auth" value="Войти">
7.     </form>
8.  
9.     <div id="wrongLogin"></div>
10.                      
11. <div class="registr"><a href="?action=registr">Или зарегистрируйтесь</div>
12.  
13. <script>
14.     var auth = document.querySelector('.auth');
15.         auth.addEventListener('click', function(e) {
16.             e.preventDefault();
17.             var forma = e.target.parentElement;
18.             var login = forma.elements.login.value;
19.             var pass = forma.elements.password.value;
20.  
21.             xmlhttp=new XMLHttpRequest();
22.                                          
23.             xmlhttp.onreadystatechange=function() {
24.                 if (this.readyState==4 && this.status==200) {
25.                    wrongLogin.innerHTML=this.responseText;
26.                 }
27.             }
28.                          
29.                 xmlhttp.open("POST","./",true);
30.                 xmlhttp.setRequestHeader('Content-Type', 'application/x-www-form-urlencoded')
31.                 xmlhttp.send("log="+login+"&password="+pass);              
32.             })              
33.                  
34.                  
35. </script>

PHP:

1.     function login($login, $password) {
2.      
3.         $newLogin = str_replace(";","",$login);
4.         $newLogin2 = str_replace(")","",$newLogin);
5.         $newLogin3 = str_replace("'","",$newLogin2);
6.      
7.         $sqlPass = "SELECT `id`, `login`, `password`, `avatar`, `link_vk`, `reputation` FROM users WHERE login = :log";
8.         $resPass = $this->db->prepare($sqlPass);
9.         $resPass->bindValue(':log', trim($newLogin3), PDO::PARAM_STR);
10.         $resPass->execute();
11.      
12.         $allRes = $resPass->fetchAll();
13.      
14.  
15.         if(count($allRes) == 0) {
16.             die('<p>Неверный логин или пароль</p>');
17.         }
18.      
19.         $needPassword = $allRes[0]['password'];
20.         $userId = $allRes[0]['id'];
21.         $userLogin = $allRes[0]['login'];
22.         $userAvatar = $allRes[0]['avatar'];
23.         $userVk = $allRes[0]['link_vk'];
24.         $userRep =$allRes[0]['reputation'];
25.      
26.      
27.         $hash = $needPassword;
28.  
29.         if (password_verify($password, $hash)) {
30.          
31.             $salt = 'slovo';
32.             $tokenstr = strval(date('s')) . $salt;
33.             $token = md5($tokenstr);
34.                                  
35.             $sql = "UPDATE users SET token ='" . $token . "' WHERE login = :log2";
36.             $queryToket = $this->db->prepare($sql);
37.             $queryToket->bindValue(':log2', trim($newLogin3), PDO::PARAM_STR);
38.             $queryToket->execute();
39.                      
40.             setcookie ("user", $token, time()+604800);
41.                  
42.             $_SESSION['token'] = $token;
43.             $_SESSION['user'] = $userLogin;
44.             $_SESSION['id'] = $userId;
45.             $_SESSION['avatar'] = $userAvatar;
46.             $_SESSION['vkontakte'] = $userVk;
47.             $_SESSION['reputation'] = $userRep;
48.             output_add_rewrite_var('token', $token);
49.             header('Location: ./index.php?token='.$_SESSION['token']);
50.          
51.         }
52.      
53.         else {
54.             die('<p>Неверный логин или пароль</p>');
55.         }
56.  
57.      
58.     }

 

Добавил return true

PHP:

1. $_SESSION['vkontakte'] = $userVk;
2.             $_SESSION['reputation'] = $userRep;
3.             output_add_rewrite_var('token', $token);
4.             //header('Location: ./index.php?token='.$_SESSION['token']);
5.             return true;

Код (Javascript):

1. xmlhttp.onreadystatechange=function() {
2.                 if (this.readyState==4 && this.status==200) {
3.                     console.log(this.responseText);
4.                     if(this.responseText == true) {
5.                         window.location.reload();
6.                     }
7.                     else {
8.                         wrongLogin.innerHTML=this.responseText;
9.                     }
10.                 }
11.             }

Но почему-то этот return не передаётся

 

Я не хочу использовать jQuery

 

Вместо return true, буду использовать echo true, так работает

 

А зачем обязательно использовать Json?

 

1. $_SESSION['avatar'] = $userAvatar нужен для того, что бы показывать у пользователя аватарку и больше не дёргать базу.
2. $_SESSION['reputation'] = то же самое

 

А куда может деться avatar?