Защита web приложения

Здравствуйте помогите пожалуйста разобраться с csrf токенами и clickjacking защитой.

CSRF Токен
1) каждому пользователю выдается случайная последовательность символов они шифруются, например, алгоритмом AES и это строка передается пользователю как токен в заголовке http ответа.
2) При каждом запросе, который как то манипулирует данными (POST, PUT, и т.д.) клиент передаёт этот токен серверу.
3) сервер расшифрует этот токен с помощью ключа шифрования и сравнивает его с тем что лежит в базе данных.
4) если данный расшифрованный токен совпадает с тем что находится в базе данных запрос принимается иначе отвергается.

Вопросы:
1) Правильно ли я понял механизм защиты от csrf атак?
2) можно ли отправлять csrf токен с помощью json и на каждой нужной форме вставлять этот токен в скрытое поле?

Где то я прочитал что токен должен постоянно обновляться при каждом запросе, но я никак не пойму как это реализуется


CLICKJACKING
я читал что от этой атаки можно защититься с помощью http заголовков в ответе таких как:
X-Frame-Options, Access-Control-Aloow-Origin, Content-Security-Policy, X-Content-Type-Options, X-XSS-Protection, Access-Control-Allow-Methods.

Вопросы:
1) Есть ли еще какие то способы защититься от этой атаки?
2) Все ли я нужные заголовки перечислил?

0