НС
Я много раз видел, как люди фейлили csrf токены. В т.ч. в том, что из банка наружу торчит.
При этом впилить SameSite — дело пары минут, и оно защищает почти всех посетителей гораздо надёжнее, чем надежда на то, что горе-программисты сделали закрыли все формы csrf-токенами.