Session、Token验证的区别以及CSRF攻击