fix input_csrf_token escaping