在看讲如何防御跨站请求伪造攻击时，服务端在给前端返回的响应体加了一个隐藏的input，包含了随机的csrf token；我有个疑问，那些恶意的网站，在发起伪造的请求前，可以先发送正常的GET请求，从响应中也获取到csrf token，然后用这个token在发送伪造的请求吗？