セッション使わないならAPIトークン、セッション使うならCSRFトークン