add csrf.html