Я бы посоветовал вам использовать промежуточный PHP-скрипт, подобный этому:
RewriteRule ^shopping/paypal/([0-9A-Za-z]*)?$ php/savetoken.php [QSA,L]
RewriteRule ^shopping/$ php/shopping.php [L]
, где в savetoken.php:
<?php
session_start();
$_SESSION['token'] = $_GET['token'];
header("HTTP/1.1 301 Moved Permanently"); //without this PHP issues a 302
header('Location: shopping/');
exit;
Затем в shopping.php вы начинаете сеанс ипрочитать значение токена из него (и, возможно, удалить его из сеанса, чтобы предотвратить его появление в будущем)