Правильно ли записывать CSRF токен в cookie?
зачем его писать в куки, если он должен быть уникальным на каждый запрос?
Странная документация. Класть csrf-токен в куку вообще бессмысленное действие. Весь его смысл в том, что бы атакующий не мог его отправит на ваш сервер, а тут браузер услужливо отправит его сам.
UPD: Хотя если эта кука используется только как хранилище, то в принципе так можно.