对的，只能是服务端或者是http的那几个安全头

和xss无关，在csrf上有更好的安全性

我认为是可以的，私聊

实不相瞒我最近也在思考这个问题