Согласен, токены CSRF важны, но не всегда стопроцентно спасают — есть случаи, когда обходят. Плюс, даже с CSP бывают проблемы, если плохо прописать. В общем, защита — это многоступенчатый процесс, а не парочка простых фишек.