CSRF еще жив, особенно если лень ставить нормальные токены и SameSite на куки. Без этого на автомате залетит, хоть фреймворк и пытается помочь. Проверка Origin/Referer — хороший доп, но не панацея. Лучше просто делать простые, но жесткие меры, чем потом ловить последствия.