fixed csrf.js