Add CSRF check on oauth callback