为何注释掉csrf?这个是防止xss攻击的基本保障