form から送信された token を受け取る処理がないように見えてしまいます。
そのような処理は必要ないのでしょうか？もしくは、

function validateToken() {
  if (
    empty($_SESSION['token']) ||
    $_SESSION['token'] !== filter_input(INPUT_POST, 'token')
  ) {
    exit('Invalid post request');
  }
}

validateToken 内の if 文の条件の中の

$_SESSION['token'] !== filter_input(INPUT_POST, 'token')

がそれにあたるのでしょうか？
このあたりよく理解できていないため変な質問でしたらすいません。