可以去看看微博、QQ、其他开源软件怎么做。
据我了解，Discuz、腾讯微博都是没有每次请求更换token的，而是每个登录session初始化一个token。腾讯微博的算法稍微复杂点，从cookie传过来，然会js解密换算后，通过url传递回去的；discuz通过forum filed提交。其实微博貌似都没用csrf token，简单看了下。

个人感觉通过session就够了。没有绝对的安全。