CSRF token или как защитить сайт?

Делаю свой небольшой учебный проект и возник вопрос. Есть код который передает id в views.py:

var element = document.getElementById(e);
var json = {};
    var bot_id = element.id
    
    var token = '{{csrf_token}}';
    json["id"]=bot_id
    
            $.ajax({
                headers: { "X-CSRFToken": token },
                url: window.location.pathname,
                type: 'PATCH',
                data: JSON.stringify({
                json
                })
            });

В панели разработчика выглядит так:

Должен ли пользователь видеть CSRF token? PS: Я плохо разбираюсь в защите сайтов и понимаю что вопрос обширный. Но как могут еще подменить/взломать/украсть данные? Может есть список частых ошибок которых делать не стоит?