一般用 token 防 csrf，但是分布式場景下生成 token 本身就是個問題，再加上同一個用戶的兩次請求可能會打到不同的機器上，直接用 session 也有問題。用一個單獨的服務來生成 token，然后所有的 web 服務器去??？