El problema es que haces como si el token estuviese en la superglobal $_POST
y por eso no te está reconociendo el valor, como puedes verificar en la URL final: $_POST['.$token.']
.
$token
en una variable que no depende de la super global, así que debes ponerla directamente, algo así:
Core::redir("./?view=reset&user_email=".$_POST['user_email']."&token="$token);
Por otra parte, considera no pasar a usar datos de las superglobales sin verificarlos antes, o podrías exponerte a un Undefined index
al menos.
Puedes usar fusión de null o en su defecto operadores ternarios, por ejemplo:
$user_email =!empty($_POST['user_email']) ?? NULL;
Y si $user_email
es imprescindible, agrégalo al if
, algo así:
if($enviado && $user_email){
Y, dentro del if
, ya olvídate del $_POST
y usa la variable:
$pass->user_email = $user_email;
// ...
Core::redir("./?view=reset&user_email=$user_email&token=$token");
Si observas, esto permite escribir un código más limpio, pudiendo meter la variable dentro de las comillas dobles, sin concatenaciones.
Por último, considera aplicar filtros adecuados en los usos posteriores de datos que vienen del exterior.