Un token CSRF è ciò che un server include nella sua risposta, cioè lo stesso token che viene passato nella richiesta dall'utente.
Nel mio caso, un token CSRF diverso viene incluso nella richiesta, che genera quindi un errore Proibito 403.
Lungo il diverso cookie token CSRF, viene incluso anche un nuovo cookie ID sessione, il che non dovrebbe essere il caso. Immagino che una nuova sessione venga in qualche modo creata e quindi includa un diverso token CSRF, ma non sono sicuro di come e perché accada. Sembra che stia accadendo una sorta di re-login.
Ciò che è più interessante è che questo sta accadendo solo per un utente specifico. Qualche idea su cosa potrebbe essere il caso?