fix csrf_hash()