CSRF token为什么可以保护表单提交？底层原理是什么？

CSRF（Cross-Site Request Forgery）攻击是一种利用用户已经登录的身份，向服务器发送恶意请求的攻击方式。常见的例子包括在用户不知情的情况下，向银行转账、修改密码等操作。

CSRF token 是一种用于防范 CSRF 攻击的机制，其底层原理是在表单提交或链接跳转等操作中添加一个随机的 token 字段，这个 token 字段由服务器生成并附加在表单中或者链接的 URL 参数中。当用户提交表单或者点击链接时，浏览器会将 token 字段一同发送到服务器端，服务器会校验 token 的合法性，只有当 token 与服务器预期的一致时，请求才会被处理。

通过引入 CSRF token 机制，攻击者无法伪造一个有效的 token，从而无法欺骗用户提交恶意请求。

具体来说，CSRF token 保护表单提交的原理是：

1. 用户访问页面时，服务器会在后端生成一个随机的 token，并将 token 返回给前端页面。

2. 前端页面在生成表单时，将 token 值添加到表单中作为隐藏字段。

3. 当用户提交表单时，浏览器会将 token 字段一同发送给服务器。

4. 服务器在接收到表单请求时，会验证请求中的 token 值是否与服务器预期的一致。如果一致，则处理请求，否则拒绝请求。

由于攻击者无法获取到服务器生成的随机 token，也无法在用户提交表单时伪造一个有效的 token，因此 CSRF token 可以有效地防范 CSRF 攻击。