function Create_Code()
{
	$year_code = date('Y');
	$month_code = date('m');
	$day_code = date('d');
	$hour_code = date('H');
	$minute_code = date('i');
	$second_code = date('s');
 
	$random_code_A = rand(100000, 999999);
	$random_code_B = chr(rand(ord('A'), ord('Z')));
	$random_code_C = chr(rand(ord('A'), ord('Z')));
 
	$result = ($random_code_A).($year_code).($month_code).($day_code).($hour_code).($minute_code).($second_code).($random_code_B).($random_code_C);
 
	return $result;
}
 

function Create_Token($page)
{
	if(is_string($page))
	{
		if(!isset($_SESSION['token_'.($page)]))
		{
			$token_csrf = Create_Code(); // Creamos un codigo unico
			$token_csrf = Hash_Data($token_csrf); // ciframos el codigo lo que nos va a dar una cadena de 60 caracteres
			$_SESSION['token_'.($page)] = $token_csrf; // se crea una session con el token generado
		}
	}
}
 

function Hash_Data($data) // El tipo de cifrado es general, con esto quiero decir que uso esta función para cifrar contraseñas, códigos de activación de un email, etcétera, ustedes pueden usar el que quieran pero en mi aplicación como norma general uso este.
{
	$result = 'Error';
 
	if(is_string($data))
	{
		$result = password_hash($data, PASSWORD_BCRYPT);
	}
 
	return $result;
}
 

function Create_Tokens()
{
	// Ajax
	Create_Token('ajax'); // acá recomiendo que creen un solo token para validar ficheros ajax
 
	// Pages ($_POST or $_GET)
	Create_Token('login'); // este token pertenece a login.php donde estará el formulario de acceso
}
 

function Validate_Token($page, $value)
{
	$result = false;
 
	if(is_string($page) && is_string($value))
	{
		if(isset($_SESSION['token_'.($page)]))
		{
			if(!empty($_SESSION['token_'.($page)]) && $_SESSION['token_'.($page)] === $value)
			{
				$result = true;
			}
		}
	}
 
    return $result;
}
 

<!-- login.php -->
<?php
Create_Tokens();
?>
 
<form method="post">
     <input type="text" name="el_texto"></input>
     <input type="hidden" name="token_csrf" value="<?php echo($_SESSION['token_login']); ?>"> // Acá va a ir su token, fijense que le puse "token_login" esto tiene que ir personalizado dependiendo en que paginas lo usen
      <button type="submit" name="el_submit"></button>
</form>
 
<?php
if(isset($_POST['el_submit'])) // cuando se envia el formulario
{
     if(isset($_POST['token_csrf']) && Validate_Token('login', $_POST['token_csrf']))
     {
        echo "mandaste ".$_POST['el_texto'];
     }
     else
     {
          echo "Se detecto un ataque CSRF";
     }
}
?>
 

<!-- profile.php -->
<?php
if(isset($_GET['id_user']) && isset($_GET['token_csrf']))
{
    $_GET['token_csrf'] = urldecode($_GET['token_csrf']);
 
    if(Validate_Token('token_profile', $_GET['token_csrf']))
    {
        [Ejecución]
    }
    else  
    {
        [Interrumpimos, redirigimos, etcétera] // ya que no es valido el token
    }
}
else
{
     [Interrumpimos, redirigimos, etcétera]
}
?>
 

window.location.href = 'profile.php?id_user=<?php echo urlencode($id); ?>&token_csrf=<?php echo urlencode($_SESSION['token_profile']); ?>';
 

// ajax/fichero.php
if(Validate_Token('token_ajax', $_POST['token_csrf'])) // $_POST['token_csrf'] depende de si en ajax ustedes usan GET o en este caso POST
{
     [Ejecución]
}
else
{
     [Interrupción]
}
 

<?php
function Create_Code()
{
	return hash("sha256",openssl_random_pseudo_bytes(1024));
}
?>
 

   if(Validate_Token('token_profile', $_GET['token_csrf']))

Validate_Token('token_login'

if(!empty($_SESSION['token_'.($page)]) && $_SESSION['token_'.($page)] === $value)

255 *255*255 *255*255 *255*255 *255*255 *255*255 *255*255 *255*255 *255

<?php
function Create_Code()
{
	return hash("sha256",random_bytes(32));
}
?>