[Rails API × Next]の構成で、セッションCookieを使ってログイン状態の管理をする予定です。
この場合、Rails APIにCORSの設定をするだけで、CSRF対策は万全といえるのでしょうか??

CORSが設定されていれば、悪意のある外部サイト(異なるオリジン)からのリクエストを防いでくれるので、セッションCookieを利用した偽造リクエストもできないのかなと思っています。
どなたか詳しい方、教えていただけると助かります。