Bei einem CSRF Angriff ist nicht die Authentifizierung das Problem. Das Problem besteht vielmehr darin, einem unbedarften Benutzer eine gültige Session-ID (SID) unterzujubeln derart daß dieser einen Request tätigt in einer Session in welcher ein ganz anderer Benutzer angemeldet ist.

Im einfachsten Fall ist die Session-ID an den URL gehängt. I.d.R. wird die SessionID in einem Cookie gesendet. Wenn serverseitig $_REQUEST befragt wird (PHP), ist es völlig egal ob die SID aus einem Cookie gelesen wurde oder aus $_GET oder $_POST. Hier also könnte man die Sache einschränken.

Ein CSRF Angriff ist nur möglich und erfolgreich wenn der Angreifer eine SID kennt die noch gültig ist.

MFG