HttpClient 的 CSRF 防护

HttpClient 包含一个内置机制来防止 XSRF 攻击。在发起 HTTP 请求时，拦截器会从 cookie 中读取一个令牌（默认名称：XSRF-TOKEN），并将其设置为 HTTP 标头（X-XSRF-TOKEN）。由于只有运行在您域上的代码才能读取此 cookie，后端可以验证 HTTP 请求是否来自您的客户端应用程序而不是攻击者。

然而，HttpClient 仅处理 XSRF 保护方面的客户端部分。您的后端服务必须配置为为您的页面设置 cookie，并验证所有相关请求中都存在该标头。如果没有这种后端配置，Angular 的默认 XSRF 保护将不会生效。