fix csrf flag