关于node csurf防止csrf攻击中的迷惑不解？

Question

在node csurf防csrf攻击中 前端先请求一个token然后每次发请求时带上这个koken进行校验，但是黑客可以在页面种抓取到这个token，然后在自己的网站上模拟请求时再带上这个token，这时csurf不扔然没有起到作用吗？

Answer 1

同源策略，并不能抓取到这个token

Answer 2

每次请求时token都不一样把