Как сделать csrf защиту для api запросов?
CSRF тут не при чем. Он сделан не антиспама ради
Антиспам - надеюсь вы выделили это слово выше.
Может пропускать кросдоменные запросы только с того домена на котором фронт крутится? Если не подходит то сделать такой посредник только для маршрута формы