Algunos mecanismos de protección de CSRF son vulnerables a los atacantes que pueden escribir cookies. Otros no son pero incurren en complejidad adicional o costo computacional.
Ayúdame a entender el costo / beneficio. ¿Qué condiciones permiten a los atacantes escribir cookies para un dominio?