ログイン時に、一端間違ったログインコード・パスワードで実行し、エラーの後に正しいコード・パスワードでログインしようとすると InvalidAuthenticityToken でエラーになる。
この InvalidAuthenticityToken ってのは CRSF 対策の物なんだけど、これでは使い物にならん。
原因は reset_session にあったようで、下記のコードが問題だった。
ログイン実行時に毎回、reset_session していたため、キャッシュされているトークンと異なるからエラーだったらしい。
reset_session を認証成功時のみにすることで回避することができた。
このエラーの詳細な解説は
steps to phantasienさんで詳しく知った。