На каждый запрос система генерирует уникальный токен и выставляет его в куках. В каждой форме размещается скрытое поле csrf-token с этим же токеном. При отправке формы методом POST Джанго проверяет, что поле формы и значение в куки совпадают. Если нет, это значит, что запрос подделан или отправлен с другого домена.

Алгоритм работы CSRF middleware в Django можно продемонстрировать с использованием примера.

Для начала, в шаблоне HTML, который отображает форму, нужно добавить CSRF-токен: