csrf protection
global.js