Token CSRF
Token aleatório embutido em um formulário que prova que a requisição veio da sua própria interface — não do site de um atacante.
O servidor embute o token no HTML. Quando o formulário é enviado, o servidor compara os valores. O atacante não tem como adivinhar. Alternativa moderna: cookies SameSite (mais simples, igualmente eficaz). Muitos frameworks (Django, Rails, Laravel) geram isso automaticamente.