feat(03-tech-debt): standardize CSRF field name to _token

Phase 3 complete:
- Zmieniono _csrf_token -> _token w OrdersController (1x), ShipmentController (2x)
- Zmieniono name="_csrf_token" -> name="_token" w orders/show.php (1x), shipments/prepare.php (2x)
- Usunięto concern z .paul/codebase/CONCERNS.md

Co-Authored-By: Claude <noreply@anthropic.com>

.paul/PROJECT.md

@@ -60,6 +60,7 @@ PHP (XAMPP/Laravel), integracje z API marketplace'ów (Allegro, Erli) oraz API p
 - Metody pomocnicze string/date/color → `App\Core\Support\StringHelper` (nie powielać w klasach)
 - Zarządzanie tokenami OAuth Allegro → `App\Modules\Settings\AllegroTokenManager`
 - Kompozycja obiektów crona → `App\Modules\Cron\CronHandlerFactory` (jedyne miejsce `new AllegroIntegrationRepository` i in. w kontekście crona)
+- Pole CSRF w formularzach HTTP: zawsze `_token` (nie `_csrf_token`)
 
 ### Business Constraints
 - [Do zdefiniowania podczas planowania]
@@ -72,6 +73,7 @@ PHP (XAMPP/Laravel), integracje z API marketplace'ów (Allegro, Erli) oraz API p
 | AllegroTokenManager wydzielony z 4 klas OAuth | Eliminacja duplikacji logiki odświeżania tokenów | 2026-03-12 | Active |
 | StringHelper jako final static class w Core/Support | Centralizacja 19 kopii helperów string/date/color z 15+ klas | 2026-03-12 | Active |
 | CronHandlerFactory jako jedyne miejsce kompozycji crona | Application.php i bin/cron.php były rozsynchronizowane — 2 bugi w bin/cron.php | 2026-03-13 | Active |
+| Pole CSRF w formularzach: `_token` (nie `_csrf_token`) | Standardyzacja na nazwę używaną przez większość kodu (10+ kontrolerów); eliminacja ryzyka pomyłki przy nowych formularzach | 2026-03-13 | Active |
 
 ## Success Metrics
 
@@ -102,4 +104,4 @@ Quick Reference:
 
 ---
 *PROJECT.md — Updated when requirements or context change*
-*Last updated: 2026-03-13 after Phase 2 (Bug Fixes)*
+*Last updated: 2026-03-13 after Phase 3 (Tech Debt 2 — CSRF standardization)*