跨站点请求伪造

我读了这个教程,它提供了一个很好的解释来防止CSRF,但它仍然从我的大脑中消失.根据方法一中的本教程,他们在每个请求中包含一个随机令牌.所以在形式上他们包括这样的东西:

在提交表格后,他们正在检查令牌是否匹配.

它如何帮助预防CSRF？

当攻击者向用户发送恶意链接时,我很困惑,当用户点击它时,根据我的说法,令牌每次都会匹配.