本文详解 codeigniter 账户邮箱验证函数中因变量名错误导致嵌套条件始终误判“账户已激活”的根本原因，并提供修正后的完整可运行代码、关键注意事项及健壮性优化建议。
本文详解 codeigniter 账户邮箱验证函数中因变量名错误导致嵌套条件始终误判“账户已激活”的根本原因，并提供修正后的完整可运行代码、关键注意事项及健壮性优化建议。
在 CodeIgniter 的邮箱验证流程（如注册后点击激活链接）中，v_akun($email, $token) 方法本应依次校验：账户是否存在 → Token 是否匹配 → Token 是否未过期 → 最终完成激活。但实际运行时，无论 Token 是否有效，程序几乎总进入 echo "account already activated"; 分支——这并非逻辑结构问题，而是一个隐蔽却致命的变量引用错误。
核心问题定位在第二层查询：
$cek_token = $this->db->get_where('users', array('token_email' => $token_email))->num_rows();此处使用了未定义的变量 $token_email，而函数参数明确传入的是 $token。由于 PHP 在未声明变量时默认返回 null（或空字符串），该查询实际等价于：
$this->db->get_where('users', ['token_email' => ''])->num_rows();这极大概率返回 0（除非数据库中真有 token_email 为空的脏数据），导致 if ($cek_token == 1) 恒为 false，直接跳入 else 分支输出 "account already activated" —— 语义完全错误，实为“Token 未找到”而非“已激活”。
✅ 正确写法应严格使用参数 $token：
public function v_akun($email, $token)
{
// 1. 检查邮箱是否存在
$user_query = $this->db->get_where('users', ['email' => $email]);
if ($user_query->num_rows() !== 1) {
echo "invalid account";
return;
}
$user = $user_query->row_array();
// 2. 检查 Token 是否匹配（关键修复：用 $token，非 $token_email）
if ($user['token_email'] !== $token) {
echo "account already activated"; // 或更准确： "invalid or expired token"
return;
}
// 3. 检查 Token 是否过期（注意：$stdate 未定义，应为 time()）
$current_time = time();
$token_age_seconds = $current_time - $user['created_token']; // 假设 created_token 是 UNIX 时间戳
if ($token_age_seconds > (60 * 60 * 2)) { // 2小时过期
// 清理过期记录
$this->m_data->hapus_data(['email' => $email], 'users');
echo "token expired";
return;
}
// 4. 激活成功：清空 token 并标记验证通过
$data = [
'token_email' => '',
'validasi_email' => '1'
];
$where = [
'email' => $email,
'token_email' => $token // 确保更新条件包含原始 token，防并发冲突
];
$this->m_data->update_data($where, $data, 'users');
redirect('/home');
}⚠️ 关键注意事项与最佳实践：
- 变量一致性：始终核对函数参数名、数据库字段名、临时变量名三者是否统一（如 $token vs token_email 字段）；
- 时间戳安全：$stdate 在原代码中未定义，必须替换为 time() 或 $_SERVER['REQUEST_TIME']；
- 防御性编程：使用 !== 1 替代 == 1 避免类型混淆；对数据库查询结果先 row_array() 再取值，避免空结果报错；
- 语义准确性："account already activated" 应仅在 token_email 为空时触发，当前逻辑下更合理的提示是 "invalid token"；
- 安全性增强：生产环境应使用 password_hash() 存储 token，并用 hash_equals() 进行恒定时间比较，防止时序攻击。
通过修正变量名、补全时间逻辑、强化条件判断，即可彻底解决嵌套分支“永远走 else”的问题，让邮箱验证流程回归预期行为。
