Токен подразумевает хранение одних и тех же данных на стороне сервера и пользователя, при каждом запросе проводится сверка этих данных с последующей регенерацией (подразумевается, что эти данные никому больше неизвестны). Другими словами, сервер выводит в форме скрытое поле
<input type="hidden" name="csrf_token" value="md5nonsense"/>
И записывает его значение, например, в сессию:
$_SESSION['csrf_token'] = "md5nonsense";
После этого при последующем запросе эти две величины сравниваются и сервер генерирует новый csrf_token
. При таком подходе:
а) Значения должны совпасть
б) На один запрос уходит один токен. Это не обеспечивает большой защиты (потому что если у злоумышленник захватил куки сессии, то он может полноценно мимикрировать под пользователя)
Таким образом обеспечивается защита от простого dos'a формы. Следующим этапом будет хитрость при генерации токена: токен может зависеть от пользовательских атрибутов, и в сессию пишется только некое исходное значение, на основе которого строится токен. Например, можно сделать так:
$seed = $_SESSION['csrf_seed'] = mt_rand(0, PHP_INT_MAX);
$token = md5($seed.$_SERVER['USER_AGENT'].$_SERVER['REMOTE_ADDR']);
В результате токен начинает зависеть как от случайного значения, так и от того, кто проводит запрос.
Long story short: вместе с формой уходят некоторые данные, которые известны только пользователю и серверу и не могут быть подделаны (зависят от отправителя запроса), при несовпадении этих данных сервер инвалидирует запрос.
md5($_SESSION['csrf_seed'].$_SERVER['USER_AGENT'].$_SERVER['REMOTE_ADDR']);
(вообще кука лучше, т.к. вы сможете менять токен при каждом обращении ajax)file_get_contents
передавать не будет - ее задача получить содержимое файла в переменную.