Нужно ли включать CSRF для SPA сайта?
Нет
UPD: пробегись по коментам к этому вопросу Laravel + Nuxt: Как победить ошибку 419 — CSRF token mismatch?
Думаю что да посмотрю ответы более опытных так-как я кодер. На laracaste Laravel Authentication (Breeze, Jetstream, Fortify) используют для spa . Там отдельно запущен проект на vue и laravel на разных портах О хранении JWT токенов в браузерах