Ez eszembe se jutott, letesztelem kikapcsolt JS-tel.
Amúgy nem random generálja, a mezők azonosítói mindig ugyanazok, ezt ellenőriztem több napon át. A token-t generálja random, de azt a form-ból ki lehet szedni, a HTML kódjából. Viszont valami ID-t meg egy a Boundary-hosszúkódot mindig másként generálja, gondolom valami titkosítással, szóval itt elakadtam egyelőre.
Pedig már félig működik, curl-lel etetem POST küldéssel, Json adatokat, de egy kis rágódás után észreveszi, hogy nincsenek validálva.