クロスサイト・リクエストフォージェリ(CSRF)対策(PHP編)

http://www.websec-room.com/2013/03/07/479
ここが分かりやすいけど、セッションIDをそのまま格納するのは非推奨。リンク先の方法で使い捨てのトークンを作成する。