前后端分离的防御csrf攻击的思路

学习了Spring Security权限框架后，讲到了csrf攻击的东西，前后端不分离还好，我直接每次加载页面就发送token，然后我服务端的token存储在redis中就行，每次请求我都更新token，达到安全的访问。

但是前后端不分离的时候，难道要前端每次都单独请求一次后端获取token吗？然后带着token再去访问后端？

那么单独的这一次请求后端怎么知道是非攻击呢？

这查了好多都没有有效的方法！

在知乎上一个大佬说：

前端直接加密生成一个token，后端收到token后解密，但是后端怎么知道解密的就是安全的东西呢？

还有，如果设置了token的失效时间为半个小时呢？每次请求都带着这个长期的token去请求后端，这个可行吗？

想了好久，我还没能想出来一个比较合适的思路去解决这个问题，大家有什么高见呢？

2020年12月29日更新

上面的问题从一开始就不是成立的，token是用户使用用户名和密码登录之后才会生成的，并且有过期时间，其他的攻击行为我觉着是无法获取到token的，除非有登录用户自己使用token来攻击，那就攻击呗，反正我有token做幂等性，恶意的请求也翻不了什么浪，而且有权限框架在，一些权限不够的请求是直接拦截的，再过分点，一个高权限的用户来搞事情，大量相同ip请求过来，直接可以在权限框架中token那部分给他屏蔽了，他的ip获取不了token了，显示给他账号冻结!完事~