¿Proteger un php con un token? Pero refresco con ajax

[alejandromaringomez]

Supongo que esa sesion/token debe eliminarse no?, porque si nos con ese mismo se podría acceder desde cualquier lugar :/