默认如果开启session，则会在模版编译输出时在表单中默认添加，并且在session中也会添加session._csrf，开发者可以根据比对这2者是否匹配来确定是否合法。