Es muy simple!

Mira...
logout.php

<? session_start();
if(!isset($_SESSION[algo])){
header("location:index.php");
} else {
session_unset();
session_destroy();
header("location:index.php");
}
?>

Eso comprueba primero que nada si existe la session algo si no existe lo manda al index, si existe destruye todas las sessiones y lo manda al index, ahi no se volverian a mandar los datos 


Espero que te sirva! 

jaja tenes razón, igual así no lo uso yo le pase algo para que se guie un poco   

Lo de la imagen..  creo que no funcionaria, tendría que probar despues.

Suerte 

¬¬ no preguntes por privado, lo mejor es tratar los temas en el foro ademas asi nos evitamos la sociabilizacion 

Se me ocurre para arreglar el csrf (no lo he probado) en el login podrias ingresar un hash al azar y almacenarlo en la base de datos justo en ese momento e iniciar una session con ese hash y luego compararlo con el de tu db 

Es mas sencillo de lo que parece solo entiendelo xD

Mira no lo voy a codear xD pero aqui tienes una idea

(login teorico)

Variables:

$numero_al_azar = rand(1,1999)
$usuario = chispita
$password = 1234
$hash_anti_csrf = md5($usuario,$numero_al_azar)

$hash_anti_csrf lo guardas en la db si el login es correcto y en una session o cookie, nada que ver con la contraseña.

(logout teorico)

existe la session de logueado?
   no = al index
   si, $hash_anti_csrf es igual al de el usuario?
      no = al index
      si, cierra session y manda al index


en la url de logout podrias recibir tu hash por get para que quedara algo como tupagina.com/logout.php?hash=234hj234h o que se yo

Parece que no hayan creado un logout anti-CSRF jamás.

En el login se crea una variable en $_SESSION que se llame token, algo así:

/* Login succesful */
$_SESSION['token'] = md5(sha1(rand(1,100000)); // Por ejemplo
 

Luego, se pone esto como enlace al logout :

<a href="logout.php?token=<?php echo $_SESSION['token']; ?>">Logout </a>
 

Y en logout.php

if ($_SESSION['token'] == $_GET['token'] )
{
session_destroy();
}
 

En mi opinión usar la base de datos no es necesario.