История изменений
Исправление Saakx, (текущая версия) :
Токен шлётся в post-запросе, то есть отправитель формы доказывает что он знает токен.
Я что-то сомневаюсь, что это можно сделать без JavaScript (вытащить значение куки, чтобы вставить в скрытое поле формы). Да и JavaScript тоже можно выполнить без участия пользователя (в том числе и форму засабмитить, и заполнить тоже).
Исходная версия Saakx, :
Токен шлётся в post-запросе, то есть отправитель формы доказывает что он знает токен.
Я что-то сомневаюсь, что это можно сделать без JavaScript. Да и JavaScript тоже можно выполнить без участия пользователя (в том числе и форму засабмитить, и заполнить тоже).