Document how to use CSRF with SPAs

Please document how to use this secure scaffold with single page applications, e.g. Angular and React SPAs. These would typically serve the static HTML directly from AppEngine (not through Python templating), which makes it impossible to inject the CSRF token. To make things more complicated, the CSRF token can also not be read from client-side JavaScript, because the secure scaffold defaults set the cookie to HttpOnly.

As far as I can tell, setting the cookie to HttpOnly does not add to the protection in a major way - e.g. see https://docs.djangoproject.com/en/3.0/ref/settings/#csrf-cookie-httponly.

まず、secure scaffold が AppEngine から提供される静的 HTML、Python テンプレートのページ、クライアント側 JavaScript に対して CSRF をどのように設定しているかを確認します。HttpOnly cookie の動作をリンク先の Django ガイダンスと比較し、Angular および React の SPA で実用的に CSRF を使用する方法を、トークンを注入または読み取れない場合にユーザーが何を想定すべきかも含めて文書化します。