איזה מנגנון יכול למנוע XSRF/CSRF כאשר האפליקציה חשופה לXSS?