CSRF – это когда твой браузер по ошибке говорит сайту: «Да, это я!», а на самом деле кто-то другой с этим играет. Короче, если в форме нет секретного токена — привет, проблемы. Ну и заголовки там правильные, чтоб не было подставы. Всё самое простое и самое важное, не мудри сильно.