Spambots, CSRF token

[Hank]

echo ("Formsend: ".$_POST['formsend']."<br>");
echo ("Name: ".$name."<br>");
echo ("Email: ".$email."<br>");
echo ("Session token: ".$_SESSION['token']."<br>");
echo ("Post token: ".$_POST['token']."<br>");
echo ("Subject: ".$subject."<br>");

ergibt:

Formsend: true
Name: MyName
Email: [e-mail]
Session token: 59b5ba4a02ee13338388c8affc76a7586ed228d6fc77a8c95cdad66b2029b56e
Post token: 59b5ba4a02ee13338388c8affc76a7586ed228d6fc77a8c95cdad66b2029b56e
Subject: MySubject

Aber ich habe das Formular ja auch über Browser aufgerufen.