fix CSRF bug