CSRF для RESTful API

Насколько я понимаю CSRF, это очень простая схема:

1. Пользователь (Боб) имеет файлы cookie для аутентификации MyApp.com в своем браузере.
2. Злоумышленник отправляет Бобу электронное письмо со ссылкой на веб-сайт MyApp-Crack.com с помощью волшебной кнопки «Нажмите, чтобы выиграть 10.000 долларов», которая представляет собой button = «sumbit» простой скрытой формы с действием = «myapp.com/user/delete-account». php "method =" POST "
3. Нажатие на эту кнопку создает запрос POST к myapp.com/user/delete-account.php с cookie-файлами аутентификации Боба.
4. Запрос аутентифицируется, и желаемое действие выполняется.

Представьте, что MyApp.com - это чисто SPA с бэкэндом RESTful, url в примере (myapp.com/user/delete-account.php) скорее RESTful API (myapp.com/API/delete-account.json) и вызывается только и только из браузеров javascript (angular) или мобильного приложения (которое использует JWT).

Идея: если я добавлю определенный заголовок в любой запрос в JavaScript:

headers.append('X-MyApp-Source', 'angular-app');

и добавьте проверку на стороне сервера:

if (user.AuthType == "cookies" && !request.Headers.Contains("X-MyApp-Source"))
{
   return (400, "Bad request, missing source header");
}

Есть ли способ, как злоумышленник может создать запрос с помощью файлов cookie Боба с заголовком запроса?

• MyApp.com не может быть встроен в iframe X-Frame-Options
• скрытая форма html на MyApp-Crack.com не добавит этот заголовок
• javascript в другом домене добавляет заголовок, но не отправляет файлы cookie
  • это неправда. Атрибут XMLHttpRequest.withCredentials: true будет отправлять файлы cookie.

Я не говорю, что моя идея пуленепробиваемая, просто brianstorm.

Спасибо!