Par curiosité, quel est le but d'ajouter un string statique à la fin du token ?

u Microsecondes (ajouté en PHP 5.2.2) Exemple : 654321
U Secondes depuis l'époque Unix (1er Janvier 1970, 0h00 00s GMT)

Pour réduire encore un peu les risques de collision, tu pourrais te baser sur le principe du CSRF, à savoir générer un token unique (une valeur aléatoire), que tu mets en champs caché dans le formulaire, et que tu utilises comme clé dans ta session pour stocker la date de génération.

// $sel est une chaine statique
$token = md5(date('u').$sel);

$_SESSION['form'][$token] = date('u');

...
<input type="hidden" name="token" value="<?php echo $token ?>" />
...

Du coup, si l'utilisateur regénère le formulaire, eh bien il aura un nouveau token de généré, et s'il soumet l'ancien formulaire, tu retrouveras bien la bonne date de génération

$token = $_POST['token'];
$date_generation = array_key_exists($token, $_SESSION['form']) : $_SESSION['form'][$token] : null;

Là, tu as la date de génération de ce formulaire, sans aucun soucis
Et si la date n'existe pas en session, c'est qu'il a fait quelque chose de pas bien, mais il ne sera de toutes façon plus identifié ^^

// $sel est une chaine statique
$token = md5(date('u').$sel);

$_SESSION['form'][$token] = date('u');

...
<input type="hidden" name="token" value="<?php echo $token ?>" />
...

$token = $_POST['token'];
$date_generation = array_key_exists($token, $_SESSION['form']) : $_SESSION['form'][$token] : null;

Cela veut dire que pour l'application, tous les rechargements de formulaire sont interprétés comme des "tentatives de triche".

$_SESSION['form_ok'] = isset($_SESSION['form_ok'])? 0 : 1;