有一个主项目 前端后端在一起。 react 服务端渲染，部署在根目录，egg 作为后端，开启了 csrf。
最近又写了一个 admin 项目，用的是 antd pro 那一套，纯前端项目，部署在 /admin/ 目录下。
admin 纯前端项目， 接口就写在了主项目里面。
域名是同一个 , 主项目地址是 abc.com/xxx ，admin 项目是 abc.com/admin/xxx ， 由于 admin 主要是内部使用，访问过主项目 cookie 就种上了。但是 还是会报 csrf token 错误， 想请教一下这个是什么原因
admin 是纯前端？你的 ajax 请求没把 csrf 带上吧？需要手动操作，文档有写的，多看文档。
csrf 的防范方式是 Double Cookie Defense ，原理就是：
https://eggjs.org/zh-cn/core/security.html#ajax-%E8%AF%B7%E6%B1%82
你是 2 个 egg 项目部署到同一个域名不同的 path 下？ 猜测是因为 config.keys 不一样，这个会导致 cookie 的 sign 不一样，从而 a 服务注入的 cookie 在 b 服务那边解析失败，所以读不出 csrf 来。
请教一下大佬 @atian25
