フォームに値を埋め込む際は記号なども単なる文字列として扱うため htmlspecialchars を適用させた方がいいという認識です。
この場合、セッションに保存した token はランダムな 2 進数を 16 進数に変換したものであり記号などは含まれる可能性がないと思うのですが、フォームに仕込んだ token にも h 関数を実行しているのはなぜでしょうか。