B-04 敏感操作有 CSRF 防护

跨站构造一个状态变更请求,看是否成功。

加 CSRF token 或 SameSite=strict cookie。