Почему бьется 419 ошибка?

Для начала бы реализовать нормально интерфейс
https://www.php.net/manual/en/class.sessionhandler...

А не вот ето вот

return $payload['_token'];
            // return true;

Как организовать генерацию уникальных кодов?

Меньшее количество проверок:
Сгенерировать 100к
вставить
выбрать и удалить дубликаты средствами бд (один запрос)

Также занести 1 млн в отдельную таблицу, удалить дубли для обоих, брать из другой таблицы сколько нужно и удалять