Browse 是浏览器，WebServerA 是受信任网站/被攻击网站 A，WebServerB 是恶意网站/点击网站 
B。
（1） A A。
（2） A A Cookie
（3） A A。
（4） A TAB B。
（5） B
（6） Cookie（包括
sessionId）信息，请求网站 A。这种请求有可能更新密码，添加用户什么的操作。
from.csrf_token, 在客户端的cookie中设置csrf_token
原文：https://www.cnblogs.com/liudemeng/p/9270720.html