ensure csrf cookie
todos