Помню, как раньше все это казалось дремучей теорией, пока на одном проекте реально не словили CSRF-запрос — щас таких косяков с токенами почти не вижу. Главное, не надо делать операции изменения через GET, а то беда обеспечена. И, конечно, не забывать про обновление токенов — иначе они быстро сливаются злоумам. Короче, базовые штуки, а проблемы решают на раз.