ググったけどどいつもこいつもオレオレ認証ばっかりでどうにも胡散臭い
こんなんでいいのか？
フレームワークが全部面倒みてくれないと不安すぎてリリースできない
お腹痛い

--react--
username, passwordをajax post /api/login

--server (Aspnet, Spring, ...)--
username, passwordをverify
set cookie（ http only, secure, same origin)

--react (post準備)--
CSRF tokenをajax get /api/csrf_token

--server--
認証cookieなかったら401
CSRF tokenをリフレッシュ

--react (post)--
CSRF tokenをheaderに入れてajax post /api/xxx

--server--
認証cookieなかったら401
CSRF tokenが違ったら403
Permissionが無いなら403
なんか処理する