Вот именно, CSRF — это про доверие браузера к кукам и сессии. Токен в форме — не просто обязательный, а жизненно важный, чтобы отличить нормальный запрос от подставного. И да, заголовки помогают, но без токенов толку мало, потому что на уровне браузера подделать запросы проще простого. Главное — не прыгать через голову с сложностями, а сделать базовую защиту и держать её всегда включённой.