Make CSRF optional
Update docs