PHP ::: secure SESSION_ID ::: no CSRF?

使用此：

function nonce($str,$expires){
return sha1(date('Y-m-d H:i',ceil(time()/$expires)*$expires).$_SERVER['REMOTE_ADDR'].$_SERVER['HTTP_USER_AGENT'].$salt.$str);
}

假设我在登录后初始化session_id，同时生成指纹，如下所示：

session_regenerate_id();
$_SESSION['thumbprint']=nonce(session_id().'thumbprint',86400);

并称之为：

function valid_session(){
    return ($_SESSION['thumbprint']==nonce(session_id().'thumbprint',86400));
}
function logged_in(){
    return (valid_session()&&isset($_SESSION['user']['id'])&&isset($_SESSION['user']['typeid'])&&isset($_SESSION['user']['email']));
}

每页顶部：

if(logged_in==false){//logout & redirect back to index}

指纹受到如此严格的审查，我甚至需要为每个函数调用制作令牌吗？或者这种实现是否足以防止CSRF？

：：86400是24小时，我意识到这是一段很长的时间。对于一个唯一的ID来说，这太长了吗
：：当我说安全函数时，我的意思是可以通过使用相同的nonce或令牌来保护函数。