А что собственно непонятно? В данном случае CSRF токен сверял идентичность параметров в заголовке и в куках, если одинаково - значит всё как надо. Классика идёт ещё со времен "защитных" капч. Уважаю таких разработчиков.

Счастливой охоты на жуков.