为什么codeigner2没有'；t以更安全的方式存储csrf_hash，例如session

为什么生成的CSRF保护令牌没有像这里建议的那样通过SESSION保存和使用？目前在CI2中，CSRF保护机制（安全级别）如下：

1.在_CSRF_set_hash（）函数中为CSRF令牌生成唯一值：

$this->csrf_hash = md5(uniqid(rand(), TRUE));

2.将该令牌插入表单隐藏字段（使用form_open助手）

3.用户提交表单，服务器通过POST获取令牌。CI在Input类中的"_sanitize_globals（）"函数中执行令牌验证

$this->security->csrf_verify();

4.Security类刚才检查的函数"csrf_verify"是否设置了POST['token']，并且POST['token']是否等于COOKIE['token']；

public function csrf_verify(){
// If no POST data exists we will set the CSRF cookie
if (count($_POST) == 0)
{
    return $this->csrf_set_cookie();
}
// Do the tokens exist in both the _POST and _COOKIE arrays?
if ( ! isset($_POST[$this->_csrf_token_name]) OR
         ! isset($_COOKIE[$this->_csrf_cookie_name]))
{
    $this->csrf_show_error();
}
// Do the tokens match?
if ($_POST[$this->_csrf_token_name] != $_COOKIE[$this->_csrf_cookie_name])
{
    $this->csrf_show_error();
}
// We kill this since we're done and we don't want to
// polute the _POST array
unset($_POST[$this->_csrf_token_name]);
// Nothing should last forever
unset($_COOKIE[$this->_csrf_cookie_name]);
$this->_csrf_set_hash();
$this->csrf_set_cookie();
log_message('debug', "CSRF token verified ");
return $this;
}

为什么不在会话中存储令牌？IMHO只是检查POST["token"]是否为非空并且等于COOKIE["token'"]是不够的，因为两者都可能是由邪恶网站发送的。