Hola @micoHuang,
Lamento ver que nadie tiene ninguna sugerencia para ti. No tengo una solución, pero quería asegurarme de que habías visto este tema: Troubleshooting "BAD CSRF" error on initial site setup?.
No es idéntico a tu situación, pero puede haber algo allí que te ayude.
El tema que enlacé arriba tiene una respuesta que describe cómo habilitar forzar https… Me pregunto si usar esas instrucciones con false en lugar de true podría permitirte deshabilitarlo. (Nota: Por favor, espera a ver si alguien interviene antes de intentarlo. 
)