Dubbio su token CSRF

[.Kurt]

2b) Lascia la pagina aperta in modo da non perdere la sessione;
3) Incolla il token nel suo form "fasullo" e lo inoltra alla pagina di destinazione del form "sano".

Non ho capito la tua domanda. CSRF è

è una vulnerabilità a cui sono esposti i siti web dinamici quando sono progettati per ricevere richieste da un client senza meccanismi per controllare se la richiesta sia stata inviata intenzionalmente oppure no. (wikipedia)

Se la tua domanda è "quel token dovrebbe fare in modo che l'utente possa inviare il form solo dalla mia pagina, evitando quindi che possa inviare dati arbitrari?" allora la risposta è no. Se la domanda è "l'attaccante può fare inviare dati per conto della vittima, senza che quest'ultima ne sia a conoscenza, prendendo lui stesso un token valido dal sito, e facendolo inviare alla vittima con i dati scelti da lui?" allora no. Come hai detto prima, il token è valido per sessione. Un token generato per la sessione X non deve risultare valido per la sessione Y. L'attaccante dovrebbe:
- o utilizzare la stessa sessione della vittima
- o indovinare un token valido che la vittima può o potrebbe usare