CSRF прописываем явно там где он реально нужен

с автоматическим добавлением выходило что CSRF token
попадает в GET url, например в search.jsp