Estou desenvolvendo um aplicativo, no backend estou desenvolvendo um Restful em PHP, e no front, Angular.
Tenho uma dúvida simples sobre a proteção CSRF: É necessário se proteger contra CSRF?
Se sim, como posso fazer ela totalmente stateless?
É necessário se proteger contra CSRF?
Entendo que qualquer sistema onde você usa uma proteção contra o Cross-site Request Forgery é para evitar requisições vinda de origem ou formas não esperadas pela aplicação. Sendo assim, só poderemos determinar se é necessário dependendo da sensibilidade dos dados e das operações feitas na sua aplicação.
Não ficou claro a intenção de usar uma proteção CSRF, mas gostaria que você desse uma olhada na resposta para essa pergunta feita aqui no site para ajudar você a entender melhor sobre o uso do CSRF:
O que é ataque CSRF e quais danos ele pode causar?
Vejo que você está preocupado com proteção.
Talvez você possa se perguntar se seu backend vai ter algum tipo de proteção, como uso de algum tipo de autenticação específica (Como logins comuns de formulário, OAuth, JWT e afins).