关于node csurf防止csrf攻击中的迷惑不解？

在node csurf防csrf攻击中前端先请求一个token然后每次发请求时带上这个koken进行校验，但是黑客可以在页面种抓取到这个token，然后在自己的网站上模拟请求时再带上这个token，这时csurf不扔然没有起到作用吗？