検索ウィジェットが呼んでるAPIが、ログインしてないときにセッションを捨てるようにしてるんだけど、ログインフォームのCSRF対策で使っているセッションも捨ててしまう。検索ウィジェットを出してからログインフォームを出せばいけるが・・・、うーん。