fix csrf token position