token auth bug fix