Исправление bvn13, 16.08.17 23:51 (текущая версия) :
зависит от. иногда в meta-тегах, иногда в hidden input-ах.
Но корсы живут в рамках сессии (если там настоящая секурность). Поэтому надежно получать их ГЕТом перед ПОСТом.
Исходная версия bvn13, 16.08.17 23:50: