Formulários autenticados levam o token CSRF ao salvar

O servidor exige um token de proteção em todo formulário autenticado, para garantir que o envio partiu da própria tela do sistema. Alguns caminhos de envio não anexavam esse token, e o salvamento era recusado sem explicação clara.

A correção cobre o envio comum do formulário, o envio disparado por script e o salvamento feito pela prévia do editor, que herda o token da página que a abriu.

Quando a proteção recusa uma navegação, o usuário vê a tela de sessão vencida, e não um erro genérico. Chamadas em segundo plano continuam recebendo a resposta em JSON, para a tela tratar.