Правильно ли я понял csrf?
Добавлять в базу - это лишнее. Какие параметры? Случайная строка + ip пользователя + user agent пользователя.
"csrf из сессии с csrf из базы" 
и по какому принципу вы их сверять собираетесь? искать в базе запись с тем же хэшом )))
сверять нужно из сессии и из поля в форме. 
< input type="hidden" name="token" value="hfjdhsalkjdfhlaksjd" >
по есть при выводе формы нужно подставлять этот хэш-токен. 
а при сабмите на серваке сверять его с сессионным. 
токен можно оставлять один на всю сессию. да и если будете их менять - начнутся глюки если пользователь откроет в двух вкладках 2 формы.