后台没做CSRF防护，诱导点链接改了管理员密码，所有表单加token校验，再没出过事

新手写网站，提交表单没做CSRF防护，别人做个假页面，诱导你点一下，就把你账号里的钱转走，其实加个token校验，就能防住。第一，每个表单生成个随机token，存在session里，提交的时候校验token对不对，不对就拦；第二，别人的假页面拿不到你的token，提交就失败；第三，敏感操作比如转账、改密码，除了token，还要二次验证；第四，别把token放在URL里，放在表单隐藏域里，别被别人拿到。

我之前写个后台表单，没做CSRF防护，别人诱导管理员点个链接，直接把管理员密码改了，之后所有表单都加token校验，再也没出过这种事。很多新手觉得CSRF是大公司才遇到的问题，小站也会被扫到。