get token works. TODO:handle CSRF