Ну, да, CSRF часто кажется сложным, но суть действительно в том, что браузер сам шлёт куки, и сайт доверяет этому. Только токенами и Origin не ограничишься — всё равно лучше комплексно подходить к защите, иначе дырки остаются. Простой токен без проверки заголовков — это почти как замок без двери.