protect from forgery with null session
Admin 要能看到每位 Staff 的操作記錄