いやCSRFの定義に認証有無は関係ないぞ
もともと認証のないAPIに対する攻撃もありうる