invalid csrf token. See https://eggjs.org/zh-cn/core/security.html#安全威胁csrf的防范

原因：

egg 框架内置了安全系统，默认开启防止 XSS 攻击 和 CSRF 攻击。
在Security的默认拦截器里，默认会开启CSRF处理，判断请求是否携带了token，如果没有就拒绝访问。并且，在请求为(GET|HEAD|TRACE|OPTIONS)时，则不会开启

解决方案：

在config.default.js中添加如下红框配置：

config.security = {
    csrf: {
      enable: false,
    },
  };