Придраться практически всегда можно к любому коду.
Однако хочу Вас похвалить за то, что используете xpath, а не парсите регулярками, как это делает немалое количество людей.
Ибо переменная находится в глобальном контексте.
Попробуйте в начале функции indexAction написать global $bb.
И, в любом раскладе, это очень плохая практика.
1) создаем токен
2) пишем в сессию
3) добавляем в нужные места во вьюхах. например, hidden-поля в формы или устанавливаем какой-нибудь заголовок, если запросы делаются через AJAX
4) при каждом POST/DELETE/PUT/PATCH запросах проверяем входной токен и токен в сессии. не совпали = пока.