add CSRF test