addRule('hidden')って実装されていないらしいので、トークンの照合ができないのです。

ページ1　hiddenにトークンを入れる
ページ2 sessionのトークンとhiddenから送られて来たトークンが同じものかチェック

これができなかったのです。