Глянул, походу всё-таки не проканает там подсунуть csrf-форму пользователю после авторизации... рандомный token в атрибуте action формы. =(