Да уж, с CSRF много непоняток, особенно когда только начинаешь. Вроде бы простой запрос, а последствия — банальный кошмар. Раньше вообще часто забывали токены ставить, сейчас хоть многие фреймворки уже полегче всё делают, но важно понимать, что без этого все рискуют лишиться аккаунта или данных. Главное — не игнорить базовые штуки, типа токенов и проверки заголовков.