CSRF令牌和代码点火器3

我读了很多关于CSRF代币的文章，但我仍然有一些问题。

例如，我将用codeigniter 3演示我的情况。

我有登录表单，并向/ajax/登录

在发送此请求之前，我有生成csrf令牌的元标签

<meta name="csrf-token" content="<?= $this->security->get_csrf_hash(); ?>">

和

$.ajaxSetup({
                headers: {
                    'X-CSRF-TOKEN':  $('meta[name="csrf-token"]').attr('content')
                }
            });
            $.ajax({
              url: ".../ajax/login",
              context: document.body
            }).done(function() {
            });

现在，对于我的ajax请求，将在x-csrf-token标头中添加令牌。

Ok代币发送没有问题，我的"if"语句是

$csrf_ajax = $this->input->get_request_header('X-CSRF-Token', TRUE);
$csrf_cookie = $this->security->get_csrf_hash();
if($csrf_ajax == $csrf_cookie){
    echo "OK";
}else{
    echo 'NOT OK';
}

我的CSRF Ci配置是

$config['csrf_protection'] = TRUE;
$config['csrf_token_name'] = 'csrf_protection';
$config['csrf_cookie_name'] = 'csrf';
$config['csrf_expire'] = 3600;
$config['csrf_regenerate'] = TRUE;
$config['csrf_exclude_uris'] = array();

3600秒后，如果我重复同样的请求，我会再次看到"OK"。代币仍然有效，但在csrf到期时间3600后应该无效吗？

你能解释一下我什么时候可以使用每次会话的令牌和每次请求的令牌吗？在哪些情况下？在我的例子中，为什么代币在这个过期时间之后仍然有效？