se cambio la variable de sesion $_SESSION['token'] por $_SESSION['csrf']