求问利用ajax异步刷新的页面如何防范csrf

testKai

RT，数据都是通过接口返回的json，现在的问题就是，这类web应用的一些后台敏感操作如何防范csrf。
试想过如下几种方法：
1.验证referer或其他http请求头
这是不够安全的，因为referer是攻击者可控的
2.对所有敏感操作都添加一步输入验证码的操作
这对用户来说不够友好
3.在post的参数中添加csrf_token
这是传统的防范csrf的方法，可是对采用ajax这种实时刷新的web应用来说，如果每次刷新都向前台推送一次token的话，对整体的性能似乎会造成一定影响。

求各位大牛帮忙

参考：
http://netsecurity.51cto.com/art/201407/446775.htm
http://www.v2ex.com/t/82751
http://www.cnnetsec.com/1249.html
http://www.nxadmin.com/web/924.html