slutligen fixat csrf

gjorde om så att man efter inloggningen (igen) gör en header location
till mess.php istället.