原理是：当用户发送请求时，服务器端应用将令牌（，一个保密且唯一的值）嵌入HTML表格，并发送给客户端。客户端提交HTML表格时候，会将令牌发送到服务端，令牌的验证是由服务端实行的。令牌可以通过任何方式生成，只要确保随机性和唯一性（如：使用随机种子【】的哈希链）。这样确保攻击者发送请求时候，由于没有该令牌而无法通过验证。Django框架默认带有STP功能：<form method="post"></form>渲染后的效果如下：<form method="post"></form>STP能