add CSRF demo