Как защититься от CSRF на статичном сайте?

Я мог бы создать конечную точку GET для получения токена, но похоже, что злоумышленник может просто получить доступ к этой конечной точке и использовать предоставленный ею токен?

Правильный. Но токены CSRF не должны быть секретными. Они существуют только для подтверждения того, что действие выполняется в порядке, ожидаемом одним пользователем (например, форма POST следует только за запросом GET для формы). Даже на динамическом веб-сайте злоумышленник может отправить свой собственный запрос GET на страницу и проанализировать токен CSRF, встроенный в форму.

Из OWASP:

CSRF — это атака, которая обманом заставляет жертву отправить вредоносный запрос. Он наследует личность и привилегии жертвы для выполнения нежелательной функции от имени жертвы.

Вполне допустимо сделать первоначальный запрос GET при загрузке страницы, чтобы получить новый токен, а затем отправить его вместе с запросом, выполняющим действие.

Если вы хотите подтвердить личность человека, делающего запрос, вам потребуется аутентификация, что является отдельной задачей CSRF.

Мое решение выглядит следующим образом

Клиент [статический html]

<script>
// Call script to GET Token and add to the form
fetch('https:/mysite/csrf.php')
.then(resp => resp.json())
.then(resp => {
    if (resp.token) {
        const csrf = document.createElement('input');
        csrf.name = "csrf";
        csrf.type = "hidden";
        csrf.value = resp.token;
        document.forms[0].appendChild(csrf);
    }
});
</script>

Вышеупомянутое можно изменить, чтобы настроить таргетинг на уже существующее поле csrf. Я использую это, чтобы добавлять страницы с формами. Сценарий предполагает, что первая форма на странице является целевой, поэтому при необходимости ее также необходимо изменить.

На сервере для создания CSRF (использование PHP: предполагается › 7)

[CSRFTOKEN определяется в файле конфигурации. Пример]

define('CSRFTOKEN','__csrftoken');

Сервер:

$root_domain = $_SERVER['HTTP_HOST'] ?? false;
$referrer = $_SERVER['HTTP_REFERER'] ?? false;

// Check that script was called by page from same origin
// and generate token if valid. Save token in SESSION and
// return to client
$token = false;
if ($root_domain && 
    $referrer && 
    parse_url($referrer, PHP_URL_HOST) == $root_domain) {
  $token = bin2hex(random_bytes(16));
  $_SESSION[CSRFTOKEN] = $token;
}

header('Content-Type: application/json');
die(json_encode(['token' => $token]));

Наконец, в коде, который обрабатывает форму

session_start();

// Included for clarity - this would typically be in a config
define('CSRFTOKEN', '__csrftoken');

$root_domain = $_SERVER['HTTP_HOST'] ?? false;
$referrer = parse_url($_SERVER['HTTP_REFERER'] ?? '', PHP_URL_HOST);

// Check submission was from same origin
if ($root_domain !== $referrer) {
    // Invalid attempt
    die();
}

// Extract and validate token
$token = $_POST[CSRFTOKEN] ?? false;
$sessionToken = $_SESSION[CSRFTOKEN] ?? false;
if (!empty($token) && $token === $sessionToken) {
  // Request is valid so process it
}

// Invalidate the token  
$_SESSION[CSRFTOKEN] = false;
unset($_SESSION[CSRFTOKEN]);

Для этого есть очень хорошее объяснение. Пожалуйста, проверьте
https://cloudunder.io/blog/csrf-token/

Насколько я понимаю, статический сайт не столкнется с какими-либо проблемами с CSRF из-за ограничений CORS, если мы добавили флаг X-Requested-With.
Есть еще одна проблема, на которую я хотел бы обратить внимание:

Как защитить API, который вызывается как из мобильного приложения, так и из статического сайта?
br> Поскольку API является общедоступным, и вы хотите убедиться, что только разрешенные пользователи должны его вызывать.
Мы можем добавить некоторую проверку на наш сервисный уровень API для того же самого

1) Для запроса AJAX( Со статического сайта) проверьте запрашиваемый домен, чтобы к нему могли получить доступ только разрешенные сайты
2) Для мобильного запроса используйте токен HMAC, подробнее читайте здесь
http://googleweblight.com/i?u=http://www.9bitstudios.com/2013/07/hmac-rest-api-security/&hl=en-IN