久しぶりにプログラミング。 AJAX通信の部分など、特定のルートだけCSRFを除外したい！という場合の処理で苦労したので、メモです。バージョン違いなどで、いろんな情報が出てきます。 以下、cakephp4.0.8 で、うまくいく場合です。
上記で一旦、CSRFのミドルウエアをここでは適用せずに、以下のところで適用させるようにします。
これで、うまくいきます