前后端分离下请求怎么带上 CSRF token 才不会被拦

前后端分离后浏览器读不到 HttpOnly 的 cookie，token 得换个途径给前端。

由后端渲染进页面 meta 标签或单独开口子下发，前端取到后存内存。

请求时放进 X-CSRF-TOKEN 头，后端同时放行该头跨域并校验一致。

const token = document.querySelector('meta[name="csrf-token"]').content;
fetch('/api/save', {
  method: 'POST',
  headers: { 'X-CSRF-TOKEN': token, 'Content-Type': 'application/json' }
});