看完了 Ruby on Rails Security Guide，但是对 CSRF 那一还是不太明白，请教一下大家：

1. Rails 对 CSRF Token 验证的是什么？类似于 Session 么？
2. Token 的有效范围和生命周期是多少？每个表单，页面，还是整个网站共用一个，每一次是否必须不同？
3. 如果自己用 javascript 提交表单，是否需要带上 token？尤其是表单不是 rails 生成而是自己动态生成的时候，或者在单页面的 WebApp 中