Что не так с AJAX

[MyNameIsCode]

Посмотрите пожалуйста! Что не так с этим кодом?
С js не дружу. Делаю сайт на PHP по уроку. jquery 3.2.1 php 5.6 сервер Apache 2.4 Версия jquery по уроку 1.7.1

function login() {
	var email = $('#loginEmail').val();
	var pwd   = $('#loginPwd').val();

	var postData = "email="+ email +"&pwd=" +pwd;

		$.ajax ({
			type: 'POST',
			async: false,
			url: "/user/login/",
			data: postData,
			dataType: 'json',
			success: function(data) {
				if (data('success')) {
					$('#loginBox').hide();

					$('#userLink').html(data['displayName']);
					$('#userBox').show();
				} else {
					alert(data['message']);
				}
			}
		});
}

[ksa]

if ( *!* data('success') */!* ) {...}

Что это такое?

[MyNameIsCode]

Это вот отсюда

function loginAction() {
    $username = isset($_REQUEST['username']) ? $_REQUEST['username'] : null;
    $username = trim($username);

    $password = isset($_REQUEST['password']) ? $_REQUEST['password'] : null;
    $password = trim($password);

    $userData = loginUser($username, $password);

    if($userData['success']) {
        $userData = $userData[0];

        $_SESSION['user'] = $userData;
        $_SESSION['user']['displayName'] = $userData['username'];

        $resData = $_SESSION['user'];
        $resData['success'] = 1;

    } else {
        $resData['success'] = 0;
        $resData['message'] = 'Неверный логин или пароль';
    }

    echo json_encode($resData);
}

[MyNameIsCode]

А вот модель

function loginUser($username, $password) {
    $username = htmlspecialchars($username);
    $password = htmlspecialchars($password);


    global $pdo;

    $statement = $pdo->query("SELECT * FROM users
			WHERE (username = {$username} AND password = {$password})
			LIMIT 1");

    $sql = $statement->fetch();
    $rs = createSmartyRsArray($sql);
    if (isset($rs[0])) {
        $rs['success'] = 1;
    } else {
        $rs['success'] = 0;
    }

    return $rs;
}

[MyNameIsCode]

В консоли выдал вот что

[laimas]

WHERE (username = {$username} AND password = {$password})

Скобки здесь совсем не нужны (и фигурные в том числе). Но что более поразительно так это LIMIT 1, то есть, в базе может присутствовать один и тот же логин, что требуется LIMIT 1?

data('success') - такого на клиенте (впрочем как и на сервере) нет. На сервере это $resData['success'], а на клиенте data.success, ну или data['success'].

И isset($_REQUEST['password']), это плохо, так как это можно переопределить куками, которые могут быть и краденными.

[MyNameIsCode]

Скобки здесь совсем не нужны (и фигурные в том числе). Но что более поразительно так это LIMIT 1, то есть, в базе может присутствовать один и тот же логин, что требуется LIMIT 1?

data('success') - такого на клиенте (впрочем как и на сервере) нет. На сервере это $resData['success'], а на клиенте data.success, ну или data['success'].

И isset($_REQUEST['password']), это плохо, так как это можно переопределить куками, которые могут быть и краденными.

Спасибо большое! Я знаю про request, просто на данный момент на этом не акцентируется внимание.