Понял, что CSRF это когда сайт думает, что запрос от тебя, а на самом деле нет, и браузер подставляет данные из куки. Чтобы защититься, вроде как хорошо ставить уникальные токены в формы, и чтобы сервер проверял, что запрос пришёл с нужного места. Ну и заголовки, чтобы отличать реальные запросы от фейковых. Вроде бы так проще избежать проблем без заморочек.