Add csrf to legacy/user.js.