//al iniciar sesión (iniciarSesion.php)
$_SESSION["token"] = md5(uniqid(mt_rand(),transliterator_create_from_rules));

//en todos los forms excepto en el
<input type="hidden" name="token" value= <?= $_SESSION["token"] ?>>

//en la página donde se procesan los datos del form
 if($_POST["token"] == $_SESSION["token"]){...}