Ik zou hier ook de gebruiker uitloggen en de CSRF token resetten. Als er effectief iemand een poging tot CSRF aan het proberen is dan is de token niet meer geldig bij een volgende poging. 

Bedenking: je kan iemand pesten door een CSRF te doen gewoon zodat die iedere keer uitgelogd wordt.