質問: JsonResponse::create($data, 200); $response->send(); ```
回答: CSRFトークンを送信するヘッダ名が間違っているのもそうですが、別プロジェクトのAPIを呼び出すのであれば、呼び出し側の `csrf_token()` はAPI側の `csrf_token()` の値とは異なり、やはりエラーになるのではないでしょうか。 というか・・・CSRF攻撃への対策は不要なのではありませんか? 第三者があらかじめ仕込んでおいたリクエストをログイン済みのセッションで送信させるだけで、そのユーザーとして操作を実行できてしまうのがCSRF攻撃です。ログインを伴わない、あるいは攻撃者が自分でログインできるなら、こんな手を使わずとも自分で攻撃すればよく、この対策は無意味です。また「あらかじめ仕込んでおいたリクエストをログイン済みのセッションで送信させる」ことができない場合も、攻撃できないのですから対策する意味がありません。 正規のAPI呼び出しであることを検証する必要があるなら、IPアドレスで制限したり、リクエストにメッセージ認証コード(MAC)を付けたり、別の方法を取った方がいいように思います。