不过解决办法仍然要说，其实只要从 cookie 中获取 _xsrf 字段，然后在 AJAX 请求时加上这个参数，或者放在 X-Xsrftoken 或 X-Csrftoken 请求头里即可。嫌麻烦的话，可以用 jQuery 的 $.ajaxSetup() 来处理：
$.ajaxSetup({
beforeSend: function(jqXHR, settings) {
type = settings.type
if (type != 'GET' && type != 'HEAD' && type != 'OPTIONS') {
var pattern = /(.+; *)?_xsrf *= *([^;" ]+)/;
var xsrf = pattern.exec(document.cookie);
if (xsrf) {
jqXHR.setRequestHeader('X-Xsrftoken', xsrf[2]);
}
}
}});
此外再顺便谈谈跨站脚本（Cross-site scripting，简称 XSS）。和 CSRF 相反的是，XSS 是利用被攻击网站自身的漏洞，在该网站上注入攻击者想执行的脚本代码，让浏览该网站的用户执行。
不过只要不让用户随意输入 HTML（例如对 < 和 > 进行转义），对 HTML 元素的属性做验证（例如属性里的引号要转义，src 和 事件处理等属性不能随意填写 JavaScript 代码等），并检查 CSS（含 style 属性）中的 expression 即可避免。
二、防止伪造 cookie。
前面提到的 CSRF 和 XSS 都是攻击者在用户不知情的情况下，冒用他的名义来进行操作；而伪造 cookie 则是攻击者自己主动伪造其他用户来进行操作。
举例来说，假设网站的登录验证就是检查 cookie 中的用户名，只要符合的话，就认为该用户已登录。那么攻击者只要在 cookie 中设置 username=admin 之类的值，就可以冒充管理员来操作了。
要防止 cookie 被伪造，首先需要提到设置 cookie 时的两个参数：secure 和 httponly。这两个参数并不在 tornado.web.RequestHandler.set_cookie() 的参数列表里，而是作为关键字参数传递，并在 Cookie.Morsel._reserved 中定义的。
前者是指这个 cookie 只能通过安全连接传递（即 HTTPS），这就使得嗅探者无法截获该 cookie；后者则要求其只能在 HTTP 协议下访问（即无法通过 JavaScript 来获取 document.cookie 中的该字段，并且设置后也不会通过 HTTP 协议向服务器发送），这便使得攻击者无法简单地通过 JavaScript 脚本来伪造 cookie。
不过对于恶意的攻击者，这两个参数并不能杜绝 cookie 被伪造。为此就需要对 cookie 做个签名，一旦被修改，服务器端可以判断出来。
Tornado 中提供了 set_secure_cookie() 这个方法来对 cookie 做签名。签名时需要提供一串秘钥（生成 tornado.web.Application 对象时的 cookie_secret 参数），这个秘钥可以通过如下代码来生成：
