核心：Token 校验 + SameSite Cookie。

表单和接口都要覆盖，别漏了写操作。

状态变更必须用 POST，这是基础。