我们如何保护API？

Question

我已经在python和nOdejs中使用了csrf令牌，但它们可以正常工作，但是在检查中，即使您将字段设置为隐藏，也可以看到它。也许我做错了。 使其安全的任何最佳方法，以使攻击者无法使用我们的api。