add _xsrf to html