csrf相关

csrf需要的三个条件：

1. 找个理由，让用户点击，触发用户点击。

2. 认证仅采用了cookie的方式，没有采用其他方式，即使是session也只在cookie中。这点是关键。

3. 知道请求包的参数。

去过请求包中有X-CSRF-TOKEN、Referer，就不可以用csrf了。