Olá @micoHuang,
Sinto muito que ninguém tenha tido sugestões para você. Não tenho uma solução, mas queria ter certeza de que você viu este tópico: Troubleshooting "BAD CSRF" error on initial site setup?.
Não é idêntico à sua situação, mas pode haver algo lá que possa te ajudar.
O tópico que linkei acima tem uma resposta que descreve como ativar o forçar https… Estou imaginando se usar essas instruções com false em vez de true pode permitir que você o desative? (Observação: por favor, espere para ver se alguém se manifesta antes de tentar isso. 
)