Самое простое — выделить токен и в каждую форму вставлять скрытым полем, а на сервере его проверять. Ну и не трогать важные вещи через GET. Это реально помогает от всей этой фигни с подделкой запросов. Ну и куки с SameSite лучше ставить, чтобы браузер не слал их куда попало. Вроде базово, но работает.