PHP-файл не вернет токен, если его об этом не попросить, с фронта отправляем запрос на PHP-контроллер, а то, что он вернет вы указываете сами, он может вернуть как токен если необходимо, так и результат запроса