In che modo l'invio di intestazioni HTTP del referrer protegge dagli attacchi CSRF?

Per capire questo, è necessario prima capire che cos'è una contraffazione richiesta cross-site.

Un contraffazione di richiesta tra siti si verifica quando l'utente malintenzionato ha uno script o un supporto incorporato su un sito Web da essi controllato che fa sì che i visitatori di quel sito Web richiedano una risorsa da un sito diverso. Quella richiesta appare a quell'altro sito nel contesto dell'utente. Ad esempio, potrei aggiungere un'immagine con l'url https://othersite.example.com/delete_my_account.php?really=true al mio sito web. Quando visiti il mio sito e al momento sono collegato al tuo account su othersite.example.com , il tuo browser richiederà quell'URL, il che causerebbe la perdita di othersite.example.com del tuo account.

Ma c'è un problema: quando othersite.example.com può leggere il tuo referrer, può vedere che questa richiesta è causata da qualcuno che interagisce con un altro sito. Non c'è una buona ragione per cui un sito web abbia un link diretto a un URL che esegue un'azione. Quando l'altro sito rifiuta le richieste senza un referrer, quell'attacco diventa impossibile.

Riguardo allo spoofing dei referrer: tieni presente che il client che fa la richiesta non è l'attaccante. L'attaccante è un operatore del sito web. Il peggio che l'operatore può fare è far eseguire il tuo browser JavaScript nel contesto del loro sito web. Mentre ci sono diversi modi per fare richieste ad altri siti web usando Javascript, nessuna di queste API permette di falsificare il referrer.

Couldn't the attacker just spoof the referrer header

No, non possono.

Ovviamente non è possibile quando si invia un modulo (o i vari metodi GET come tag immagine o url nei CSS), e non è possibile tramite XMLHttpRequest, come per documentazione

Detto questo, suggerirei di utilizzare un token, in quanto la verifica del referente potrebbe essere aggirata se esiste una vulnerabilità di reindirizzamento aperta e l'applicazione non segue il riposante, o se consente il downgrade a GET e contiene vulnerabilità di reindirizzamento aperte, Vulnerabilità di injection HTML o vulnerabilità di injection CSS. Potrebbe anche causare problemi di usabilità (come nel tuo caso).