fix csrf checking