防御csrf的另一种方法

除了在每个表单页面里加入hidden input外，还有一种利用csrfcode进行防御的方法，这种方法把csrfcode的相关数据放在cookie中，但并不是把csrfcode放到cookie中，比如我们在cookie中放入a=123，b=456，然后请求的时候，如果需要加入csrfcode时把a+b当做csrfcode，也就是579作为csrfcode放到请求中，然后发到后端，后端本身会保存着a和b的值，并且和前端有着一样的计算方法，后端根据这个用户的session取出对应的a和b的值，然后相加，看是否和前端传过来的值相等，这样就可以进行csrf攻击防御。

例子：比如某个网站x有形如http://a.b.c/delete?id=1这样删除文章的url，如果在另一个恶意者网站上挂着这么一条url，用户点击的时候，就会把用户的某个数据给删除了，而如果利用了刚才的方法，那么正常来说，用户点击删除按钮的时候，在发起请求之前，x网站的会先计算csrfcode然后加到请求的url中，再发起这个请求的，这时候恶意者网站就无法做到这一点。虽然他可以知道csrfcode的计算方法（这个可以通过查看网站x的源码可以知道），但是他无法知道或者说得到用户的cookie，所以他无法得到cookie中的两个键a和b。这样就可以起到防御作用。