csrf(跨站请求伪造)

跨站请求伪造如何体现出功能?

每个用户的form表单都会生成一个字符串,当然(这个后端是肯定知道这个字符串是什么,因为他们公用一套加密方案).假设现在有一个钓鱼网站想模仿正经网站,比如A向B转100元钱,但是钓鱼网站却不知道form表单的字符串是多少,即使伪造了一个网站(首页显示一模一样),填写了相关信息后,向正经网站后台发送转款请求,但是,由于没有特有的字符串,会被后台认为该请求是伪造请求,从而无法实现转款,