以及这里，既然是POST，是谁post？用户还是weixin server，如何确定访问者身份？不用csrf保护会不会被OOXX