pb Ajax:récupérer la réponse du serveur

Bonjour,
j'ai un probleme Ajax
Mon but est de faire la gestion de login en javascript, j'arrive parfaitement à passer les valeurs des champs au fichier php qui va les verifier dans la bdd mais je n'arrive pas a récupérer la réponse de ce fichier php.

voici la fonction javascript:

function login() {
alert('bonjour');
   var username = document.getElementById('username').value;
   var password = document.getElementById('password').value;

   xmlhttp.open('POST',"ajax_im.php",false);
   xmlhttp.setRequestHeader('Content-Type','application/x-www-form-urlencoded');

   xmlhttp.send("call=login&from="+username+"&pwd="+hex_md5(password));
  

   if(xmlhttp.responseText=='invalid') {
      document.getElementById('password').value = '';
      Effect.Shake('login');
   } else {
      user = username; pass = hex_md5(password);
      document.getElementById('username').value = '';
      document.getElementById('password').value = '';
      winList['login'].close();
      winList['bl'].open();
      setTimeout("winList['bl'].makeActive()", 100);
      document.getElementById('showLogin').style.display = 'none';
      document.getElementById('logout').style.display = 'inline';
      document.getElementById('openNewIM').style.display = 'inline';
      if(username.indexOf('test')==-1) document.getElementById('changePwd').style.display = 'inline';
      document.getElementById('awayMsgWin').style.display = 'inline';
      setTimeout("ping(1)",500);
   }
}
voici la fonction qui se trouve dans le fichier php:

case 'login':
      ///////////// login to the server /////////
      // login parts (within array $_POST):    //
      // from     -  user logging in           //
      // pwd      -  password                  //
      ///////////////////////////////////////////
//musql_real_escape_string permet de proteger les caracteres speciaux
//chercher est ce que cet utilisateur est deja inscris, si oui on le met online  et on emet "logged_in" sinon on emet "invalid"
      $query = @mysql_query("SELECT username FROM users WHERE username='".mysql_real_escape_string($from)."' AND password='".$pwd."'");
      if(@mysql_num_rows($query) > 0) {
         $set_status = @mysql_query("UPDATE users SET is_online='1' WHERE username='".mysql_real_escape_string($from)."'");
         print "logged_in";
      } else {
         print 'invalid';
      }
      break;
la probleme est que si j'appui sur le bouton login sans mettre aucune valeur dans les champs text,il passe malgrès tout.

Est-ce quelqu'un pourrait m'aider? merci.