enola Stateless API için CSRF token'a ihtiyacınız yok. API olsun olmasın SQL injection riski elbette var, o yüzden dediğim gibi değişkenleri ister kullanıcıdan, dışarıdan alın isterseniz içeride siz oluşturmuş olun ya düzgün bir şekilde Builder kullanacaksınız ya da binding ile sorguya ekleyeceksiniz:
$id = $request->input('id');
// Sorun yok
$user = User::find($id);
// SQL injection yersiniz!
$user = User::whereRaw("id = $id")->first();
// Sorun yok
$user = User::orderBy('created_at', $orderBy)->paginate();
// SQL injection yersiniz!
$user = User::orderByRaw("created_at $orderBy")->paginate();
// Sorun yok
$user = DB::table('users')->where('id', $id)->first();
// SQL injection yersiniz!
$user = DB::table('users')->whereRaw("id = $id")->first();
// Sorun yok
$user = DB::select("SELECT * FROM users WHERE id = ? LIMIT 1", [$id]);
// SQL injection yersiniz!
$user = DB::select("SELECT * FROM users WHERE id = $id LIMIT 1");