bugfix: csrf auto-login