Короче, CSRF — это когда браузер сам по себе отправляет запросы с твоими куками, и если нет токена, сайт не понимает, что это фальшивка. Токен в форме — самый простой и надёжный способ защититься. Заголовки помогают, но без токена толку мало, так что не парься, просто всегда проверяй токены на сервере.