CSRF geht auch über POST, auch wenn dann der Angriff etwas schwieriger wird.
CSRF beugt man beispielsweise mit Tokens vor, die einem User zugeordnet sind und regelmässig neu generiert werden. In jedem Formular steht das als Hidden-Field mit drin und wird im Backend geprüft. Ein Formular auf einer Angreiferseite hat das Token nicht.

Auch hier im Forum wird ein Token genutzt.