Rsa97

Потому что плейсхолдерами можно подставлять только значения, а не имена таблиц или полей.

explode()

664 ~ rw-rw-r--
То есть, владельцу разрешено читать и писать, членам группы - читать и писать, остальным - только читать.

В Windows-1251 нет символа "верхний индекс 2". Вот он и заменяется в mb_convert_encoding на знак вопроса, как любой отсутствующий в целевой кодировке символ.
iconv же, начиная с PHP 5.4.0 возвращает в таких случаях FALSE, если не указан признак //IGNORE.

Как самый примитивный вариант, делать переадресацию на /auth.php?username=Вася.
Можно через куки, сессию или localStorage.

$dbh = new PDO(
    'mysql:dbname=имя_базы_данных;host=адрес_хоста', 
    'логин', 
    'пароль', 
    [PDO::MYSQL_ATTR_INIT_COMMAND => "SET NAMES 'utf8'"]
);
$sth = $dbh->prepare("SELECT `id`, `name` FROM `users` WHERE `id` = :id");
$sth->execute(['id' => $_GET['id'] ?? null);
$result = $sth->fetch(PDO::FETCH_ASSOC);
print_r($result);

Это не JSON, а serialize

public function __construct()
{
  if (file_exists('lock_file.lock')) {
    exit('already running');
  }
  touch('lock_file.lock');
}

public function __destruct()
{
  unlink('lock_file.lock');
}

$mask = "Lorem {val1} dolor sit {val2}, consectetur adipisicing {val3}.";
$str = "Lorem ipsum dolor sit amet, consectetur adipisicing elit.";

preg_match_all("/({.*?})/", $mask, $mask_matches);

$re = '/^' . preg_replace("/\\\{.*?\\\}/", '(.*?)', preg_quote($mask, '/')) . '$/';
preg_match($re, $str, $str_matches);
array_shift($str_matches);

$result = array_combine($mask_matches[1], $str_matches);
print_r($result);

Array
(
    [{val1}] => ipsum
    [{val2}] => amet
    [{val3}] => elit
)

Что за бред у вас в коде?
Вы вычисляете хэш от введённого пароля и тут же проверяете пароль по этому хэшу. Естественно, что здесь пройдёт любой пароль.
Затем вы пытаетесь найти в базе пользователя с указанными логином и паролем. Но записали то вы в базу не пароль, а хэш пароля. Естественно, что в базе ничего не найдётся.

Вам надо получить из базы хэш пользователя с указанным логином и сверить указанный пароль с этим хэшем.

Судя по всему, в $sth у вас записано булево значение (предположительно, false). Попасть в переменную это значение могло только при вызове функции db_query()->fetch(). Вот там и ищите проблему. Функция db_query к стандартным не относится, значит смотрите в своём коде, что она возвращает и почему.