add csrf comment