為了防止XSRF，要求每一個請求必須通過一個cookie頭和一個隱藏表單向頁面提供令牌，這樣網站才認為請求有效。

開啟tornado的XSRF功能有兩個步驟：

1.在例項化tornado.web.Application時傳入xsrf_cookies=True引數：

App = tornado.web.Application([(r'/', MainHandler),],cookie_secret = "DONT_SHOW_SECRET", xsrf_cookies=True)

2.在每個具有HTML表單的模板裡，新增xsrf_form_html()標籤：

<form>

  {%module xsrf_form_html()%}

</form>

這裡的  {%module xsrf_form_html()%}起到了為表單新增隱藏元素防止跨站請求的作用！