Приложение STATELESS для весенней загрузки с аутентификацией JWT и токеном csrf

Question

У меня есть весеннее загрузочное приложение с аутентификацией JWT, которое прекрасно работает! Но я отключил csrf с политикой STATELESS:

        .csrf()
            .disable()
        .sessionManagement()
            .sessionCreationPolicy(SessionCreationPolicy.STATELESS)

Этот Rest API предназначен для приложения SPA React. Я прочитал, что когда я использую токен JWT, мне не нужно устанавливать токен csrf. Работает ли JWT как защита csrf (КАК)? Я думаю, что это не защита CSRF.