bug 920954 - non hacky csrf protection