客户端如何获取从未在任何响应中发送的 CSRF 令牌？

客户端可以通过发送一个 GET 请求来获取从未在任何响应中发送的 CSRF 令牌。服务器在该请求中返回一个包含 CSRF 令牌的响应，客户端可以从响应中提取令牌并将其存储在本地，以备后续的请求使用。

以下是一个示例代码，使用 JavaScript 和 Fetch API 来获取 CSRF 令牌：

fetch('/get_csrf_token', {
  method: 'GET',
  credentials: 'include' // 包含跨域请求的凭证
})
.then(response => response.json())
.then(data => {
  // 提取 CSRF 令牌
  const csrfToken = data.csrfToken;

  // 在这里可以将令牌存储在本地，例如使用 localStorage
  // localStorage.setItem('csrfToken', csrfToken);
})
.catch(error => {
  console.error('获取 CSRF 令牌时出错：', error);
});

在这个示例中，客户端发送一个 GET 请求到 /get_csrf_token 路径，并设置 credentials 选项为 'include'，以确保在跨域请求中包含凭证。服务器在该请求中返回一个 JSON 响应，包含一个名为 csrfToken 的字段，该字段包含 CSRF 令牌。

客户端可以通过使用 response.json() 方法来解析响应的 JSON 数据，并从中提取出 CSRF 令牌。然后，可以将令牌存储在本地，例如使用 localStorage.setItem('csrfToken', csrfToken)。

请注意，示例代码中的 /get_csrf_token 路径是一个示例路径，实际情况下需要根据服务器端的实现进行修改。