scala - Play Framework 2.6 CSRF和会话

我有一个奇怪的问题。我正在网站上实现购物车功能，并使用会话存储购物车位置。我有一个POST操作来向购物车添加新职位，并且我启用了CSRF过滤器以保护网站安全。我在产品页面上用ajax来称呼它，所以第一次调用是可以的，但是第二次说是未授权的，在日志中有[CSRF] Check failed because no token found in headers for /cart。但是它有。我称它为：

 $("form").submit(function(e){
        e.preventDefault();
        $.ajax({
            url: '/cart',
            method: 'POST',
            data: getCartPosition(),
            beforeSend: function(xhr){xhr.setRequestHeader('Csrf-Token', $('input[name=csrfToken]').val());},
            success: function (data, textStatus) {
                alert('Added!');
            },
            error: function (error) {
                alert('Error!');
            }
        });
    });

然后将CSRF令牌放在模板中的某个位置：

@CSRF.formField

它是在请求：

我已经在配置中启用了此功能

play.filters.csrf.bypassCorsTrustedOrigins=true 
play.filters.hosts {
  # Allow requests to example.com, its subdomains, and localhost:9000
  allowed = ["localhost:9000", "localhost:4200"]
}

但是奇怪的是，它似乎将csrfToken放入了会话中，因为在失败的请求之后，我会有这样的会话

Session(Map(cart -> {"positions":
[{"trackId":1},{"trackId":24},{"trackId":20}]}, 
username -> user, 
token -> 0639d0b0-e7c8-4e82-9aad-2a43044e72db, 
csrfToken -> e705413843ea96a6491a0e9e800ba36a712c4f70-1506542471068-0baeef7535eb9c889fb6fed2))

知道为什么会出现，我的add2cart动作看起来像：

private def cartAction(addToCartForm: Form[CartPosition], action: (Cart, CartPosition) => Cart)(implicit request: UserRequest[Any]) = {
    addToCartForm.fold(
      _ => BadRequest("Error!"),
      position => {
        getCart match {
          case Some(cart) => Ok("Ok").withSession("cart" -> Json.toJson(action(cart, position)).toString(), "username" -> request.session.get("username").getOrElse(""), "token" -> request.session.get("token").getOrElse(""))
          case _ => Ok("Ok, no").withSession("cart" -> Json.toJson(action(Cart(Seq.empty), position)).toString())
        }
      }
    )
  }

def addToCart() = guestAction { implicit request =>
    cartAction(addToCartForm.bindFromRequest, addCartPos)
  }

和addCartPos只是将位置添加到json