Add CSRF to TODO list.