Hola Sebastian,
habria que ver puntualmente el caso, en los logs que me paso Oscar por ejemplo hubo algun caso disparado por uso particular creo y otros que no tenian explicacion, sin embargo no pude distinguir un patron raro en la generacion de los tokens tampoco.
En las pruebas locales que hice (por si habia valores extraños en esos datos) las comparaciones entre strings dieron bien siempre que lo enviado por el cliente coincidia con lo que existia en sesion, por lo que descarte algun efecto oscuro de PHP.
Lo que me planteas del usuario administrador se sumaria a lo inexplicable (a priori) de confirmarse ya que no hay caso particular alguno para dicho usuario y lo unico que lo diferencia de otros son los permisos de acceso a las operaciones.
Salvo que este habiendo alguna excepcion (por permisos) que modifique el curso de la solicitud sin terminarla (lo que seria extraño), se alcance a generar un nuevo token y se envie al cliente pero no se almacene en session, no se me ocurre otra explicacion… y los errores de permisos liquidan todo apenas empieza el pedido de pagina.
Es algo que se me viene escapando, lo unico que puedo hacer es revisar los logs para ver si puedo sumar detalles que me lleven a la causa y asi solucionarlo.
Saludos