你的担心完全是多余的。

CSRF 是其他站点利用你使用的 A 浏览器登录的 B 网站所保存的身份信息去伪造请求发送给 B 网站。

很显然，其他网站基本不可能知道你的 csrfToken。所以在检测了csrf的请求中只会得到 400。本身就存在于你网站之下的 JS 却可以毫无顾忌的获得这个 token ，这也正是你希望的。

这类似于你给了用户呈现的网页中的背景是一副湛蓝的天空，用户自己可以用 F12 换成大海。但这个用户无法把其他人的背景也换成大海。

除非这个用户是你。