JSONをpostしてもクラスビューのpostメソッドが呼ばれない

JSONをpostしてもクラスビューのpostメソッドが呼ばれないです。

djangoのurl(http://127.0.0.1:8000/app/index/)が呼ばれた時、Djangoのtop.htmlで受け取ったJSONのデータを表示させたいです。

polls(Djangoの親app)はurls.py&views.pyとtemplatesを持っていて、templates/appにはtop.htmlがあります。pollsはapp(Djangoの子app)はurls.py &views.pyを持っています。
appのurls.pyには

from django.urls import path, include
from . import views

app_name = 'app'

urlpatterns = [
    path('index/', views.Top.as_view(), name='index'),
]

appのviews.py には

class Top(LoginRequiredMixin, View):
    login_url = '/login/'

    def get(self, request):
        return render(request, 'app/top.html')

    @csrf_exempt
    def post(self, request):
        user_json = json.loads(request.body.decode("utf-8"))

        return JsonResponse(user_json)

pollsの urls.pyには

urlpatterns = [
    path('app/', include('app.urls')),
    path('admin/', admin.site.urls),
]

と書きました。
またtestフォルダを作り、test.html&test.jsを格納しました。
test.html には

 <!DOCTYPE html>
    
        <html lang="ja">
          <head>
            <meta charset="UTF-8" />
            <meta name="viewport" content="width=device-width, initial-scale=1.0" />
            <script src="https://cdn.jsdelivr.net/npm/js-cookie@2/src/js.cookie.min.js"></script>
            <script type="text/javascript" src="test.js"></script>
          </head>
          <body>
            <p>TEST</p>
          </body>
        </html>

test.jsには

var info = [
  {
    "A": "key",
    "B": "123,
  },
];

const csrftoken = Cookies.get("csrftoken");
var xhr = new XMLHttpRequest();
var json = JSON.stringify(info);
xhr.open("POST", "http://127.0.0.1:8000/app/index/");
xhr.setRequestHeader("Content-Type", "application/json");
xhr.setRequestHeader("X-CSRFToken", csrftoken);
xhr.send(json);

と書きました。
Djangoサーバーを起動し、testフォルダをgoogle choromeに投げてtest.html を開きました。
しかしGoogleブラウザのConsoleにPOST http://127.0.0.1:8000/app/index/ 403 (Forbidden)とエラーが出ました。
クロームにはCORSを許可するプラグインを入れています。

一方で試しにappのviews.py に

@csrf_exempt
def top(request,data,status=None):
 json_str = json.dumps(data, ensure_ascii=False, indent=2)
 print(json_str)
 return render(request, 'app/top.html')

とコードを書いてhttp://127.0.0.1:8000/app/index/でtopメソッドを呼ぶようにしたところ、postしたjsonがtopメソッドに届きました。
なのでおそらくTopクラスのpostメソッドの書き方が悪いとは思うのですが、何が悪いのかわかりませんでした。

ご教授願います。