1 つのトークンは Cookie として送信されます。 もう 1 つは非表示のフォーム フィールドに配置されます。 敵対者が値を推測できないように、トークンはランダムに生成されます。 クライアントはフォームを送信するときに、両方のトークンをサーバーに送り返す必要があります。 クライアントは Cookie トークンを Cookie として送信し、フォーム データ内にフォーム トークンを送信します (ユーザーがフォームを送信すると、ブラウザー クライアントによって自動的に行われます)。 要求に両方のトークンが含まれていない場合、サーバーは要求を許可しません。 非表示のフォーム トークンを含む HTML フォームの例を次に示します。