Короче, CSRF — это когда кто-то юзает твой браузер, типа ты сам, чтобы сделать фигню на сайте, где ты залогинен. Защищаться надо токенами, чтобы сервер мог проверить, что запрос нормальный, а не из другой шаражки. С токенами хотя бы шанс минимальный дать хакерам залезть куда не надо. В общем, без них — почти как дверь без замка.