쿠키 기반 로그인 상태에서 송금 요청이 다른 사이트의 폼으로도 전송된다. 서버가 적용할 통제로 가장 적절한 것은?

1. 1

   상태 변경에 GET을 쓰지 않되 요청의 세션 결합 토큰은 검증하지 않는다.

2. 2

   SameSite 쿠키만 적용하고 브라우저·호환성별 전송 조건은 확인하지 않는다.

3. 3

   Referer 문자열이 비어 있으면 정상 요청으로 보고 상태 변경을 허용한다.

4. 4

   예측할 수 없는 CSRF 토큰을 세션과 검증하고 SameSite 쿠키 정책을 함께 적용한다.