Как с генерировать csrf токен, используя HTML meta tag?

CSRF токен - это по сути строка которая крепится за пользователем, то есть просто создаете в сессии хеш, приведу пример для PHP7:

session_start();
if (!isset($_SESSION['csrf_token'])) {
    $_SESSION['csrf_token'] = bin2hex(random_bytes(32));
}
$token = $_SESSION['csrf_token']; // передаете на форму.

Далее я предпочитаю класть этот токен в meta для AJAX запросов и для форм делаете:

<input type="hidden" name="token" value="<?= $token; ?>">

и потом при сабмите формы проверяете токен что в сессии с тем что пришел в форме.