dunque tra le prime linee della pagina html invio via post l'MD5 dell'user-agent concatenato ad una stringa segreta, vero?

Quale differenza c'è con il token che si crea per prevenire l'attacco CSRF?