纯API要不要关 CSRF，Tigshop开源商城安全闲聊

前阵子接手一个别人做过二开的 tigshop 项目，翻代码时看到有人调试的时候图省事，把安全相关的中间件从全局注册里注释掉了，然后就那么带上线了。借这个事，把「纯 API 要不要管 CSRF」这个问题捋一捋。