better csrf handling if json