回答編集履歴

- クッキーやトークンを能動的に盗むような攻撃は、CSRFとは**別物**ですので、それはそれで対策が必要になります（HTTPS化で盗聴を防ぐ、クッキーに`HttpOnly`や`Secure`を付けることで流出経路を減らす、など）。