Ciao @micoHuang,
Mi dispiace vedere che nessuno ha suggerimenti per te. Non ho una soluzione, ma volevo assicurarmi che avessi visto questo argomento: Troubleshooting "BAD CSRF" error on initial site setup?.
Non è identico alla tua situazione, ma potrebbe esserci qualcosa lì che ti aiuti.
L’argomento che ho collegato sopra ha una risposta che descrive come abilitare la forza https… Mi chiedo se usando quelle istruzioni con false invece di true potrebbe permetterti di disattivarla? (Nota: attendi che qualcuno intervenga prima di provare. 
)