Add CSRF protection docs