トークンにユーザのstatusをもたせ、凍結ユーザにはcsrftokenを渡さないようにした