Wie komme ich an den Flag token?

Solch "operative" Links, wie sie auch das Flag-Modul erzeugt, sind aufgrund der darauf reagierenden Programmierung oder Konfiguration z.B. Änderung von User-Rechten über das Rules-Modul sehr sensibel und sollten durch Tokens als eine Art temporäres Passwort geschützt sein und z.B. nur in einer bestimmten Session durch einen Benutzer Gültigkeit besitzen. Das heißt das Modul löst eine Veränderung nur dann aus, wenn der Token als gültig erkannt wird.
Module – die solche Links erzeugen – haben in der Regel auch Funktionen dafür, die man in eine eigenen Programmierung nutzen kann. Ein Einstieg bietet in diesem Fall vllt. diese Dokumenations-Seite: https://www.drupal.org/node/295383