原来的token是每个页面对应一个session来存放__hash__值，
我的每个页面头部都有一个登录框，用户每访问一个页面就会产生一个token,如果用户一直不提交，那么token就不会自动销毁(除非session过期)。
一个解决方案是通过配置文件，关闭令牌，只有在需要的视图中打开配置参数。
但是我觉得我的网站不需要同时多个页面同时提交表单，而且我使用了session db hander扩展，内存表的char字段长度是有限制的，不可能无限存放那么多token。
所以我决定让用户只能保留一个token。
这样做还有一个好处，可以避免用户多个页面同时提交，刷回复什么的
thinkphp/lib/behavior/tokenbuildbehavior.class.php
搜索// 创建表单令牌
    private function buildtoken() {
        $tokenname  = c('token_name');
        $tokentype  = c('token_type');
        if(!isset($_session[$tokenname])) {
            $_session[$tokenname]  = array();
        }
        // 标识当前页面唯一性
        $tokenkey   =  md5($_server['request_uri']);
        if(isset($_session[$tokenname][$tokenkey])) {// 相同页面不重复生成session
            $tokenvalue = $_session[$tokenname][$tokenkey];
        }else{
            $tokenvalue = $tokentype(microtime(true));
            $_session[$tokenname][$tokenkey]   =  $tokenvalue;
        }
        $token      =  '';
        return $token;
    }改为：// 创建表单令牌
    private function buildtoken() {
        $tokenname  = c('token_name');
        $tokentype  = c('token_type');
//        if(!isset($_session[$tokenname])) {
//            $_session[$tokenname]  = array();
//        }
        $_session[$tokenname]=array();//生成令牌前清空已有令牌。
        // 标识当前页面唯一性
        $tokenkey   =  md5($_server['request_uri']);
        if(isset($_session[$tokenname][$tokenkey])) {// 相同页面不重复生成session
            $tokenvalue = $_session[$tokenname][$tokenkey];
        }else{
            $tokenvalue = $tokentype(microtime(true));
            $_session[$tokenname][$tokenkey]   =  $tokenvalue;
        }
        $token      =  '';
        return $token;
    }这样就可以了。
ad：真正免费，域名+虚机+企业邮箱=0元