token为什么能防止csrf

CSRF攻击的本质是攻击者利用用户的身份信息，冒充用户发送恶意请求，从而实现攻击的目的。而token机制可以防止CSRF攻击的原因在于，它引入了一个额外的验证机制，使得攻击者无法生成有效的请求。

在服务端生成token时，需要使用随机数生成器、加密算法等来生成一个随机值，并将该值设置到cookie或者session中，并在表单或者AJAX请求中加入一个隐藏域，将该值作为token传递到客户端。当用户提交请求时，服务端会对请求中的token进行验证，检查token是否与服务端生成的一致，如果不一致，则认为该请求是非法请求，拒绝执行。

攻击者无法获取到用户的token值，因此无法在请求中正确地传递token值，也就无法通过服务端的验证。因此，token机制可以有效地防止CSRF攻击。