是的，您仍然需要某种反 CSRF 实现，因为您仍然无法验证请求的来源。

为了让 CSRF 攻击更清楚一点，请看一下这张图：

可以在此处找到使用 PHP 的反 CSRF 实现。

发起跨域请求时，浏览器不会自动发送浏览器会话存储。因此，当您手动添加身份验证令牌时，这本身就是 CSRF 防御，不需要任何进一步的保护。

我假设这里的网站和 Web API 之间存在一对一的关系。如果不是，则您的 API 的使用者可能正在向另一个使用者发出跨域请求。为了解决这个问题，您应该将用户会话与发出原始身份验证请求的网站的标识符联系起来，并检查每个进一步的请求以减轻 CSRF。