методы фильтрации в контроллере

Вероятно, вам следует начать с фильтра lithium\action\Dispatcher::run(), вот некоторый псевдокод. Не могу помочь, не видя вашего метода parent::isNotPostBack(), но это должно привести вас на правильный путь.

<?php
use lithium\action\Dispatcher;

Dispatcher::applyFilter('run', function($self, $params, $chain) {
    $request = $params['request'];

    // Request method is in $request->method
    // Post data is in $request->data

    if($not_your_conditions) {
        return new Response(); // set up your custom response
    }

    return $chain->next($self, $params, $chain); // to continue on the path of execution
});

В первую очередь используйте встроенную защиту CSRF (XSRF).

Класс RequestToken создает криптографически защищенные токены и ключи, которые можно использовать для проверки подлинности клиентских запросов.

— http://li3.me/docs/lithium/security/validation/RequestToken

Проверьте токен CSRF следующим образом:

if ($this->request->data && !RequestToken::check($this->request)) {
    /* do your stuff */
}

Вы даже можете проверить метод HTTP, используемый через is()

$this->request->is('post');

Проблема фильтров (для этого варианта использования) заключается в том, что они очень общие. Поэтому, если вы не хотите записывать все свои действия в виде фильтруемого кода (что может быть болезненным и излишним), вам придется найти способ определить, какой метод что блокирует, и отфильтровать Dispatcher::_call.

Для защиты от CSRF я использую что-то похожее на предложение greut.

У меня есть это в моем extensions/action/Controller.php

protected function _init() {
    parent::_init();

    if ($this->request->is('post') ||
        $this->request->is('put') ||
        $this->request->is('delete')) {
        //on add, update and delete, if the security token exists, we will verify the token
        if ('' != Session::read('security.token') && !RequestToken::check($this->request)) {
            RequestToken::get(array('regenerate' => true));
            throw new DispatchException('There was an error submitting the form.');
        }
    }
}

Конечно, это означает, что вам также придется добавить следующее в начало файла:

use \lithium\storage\Session;
use lithium\security\validation\RequestToken;
use lithium\action\DispatchException;

Благодаря этому мне не нужно повторно проверять наличие CSRF.

Я реализовал нечто подобное в недавнем проекте, создав подкласс \lithium\action\Controller как app\controllers\ApplicationController (абстрактный) и применив фильтры к invokeMethod(), так как именно так диспетчер вызывает методы действий. Вот соответствующий фрагмент:

namespace app\controllers;

class ApplicationController extends \lithium\action\Controller {
    /**
     * Essential because you cannot invoke `parent::invokeMethod()` from within the closure passed to `_filter()`... But it makes me sad.
     *
     * @see \lithium\action\Controller::invokeMethod()
     *
     * @param string $method to be invoked with $arguments
     * @param array $arguments to pass to $method
     */
    public function _invokeMethod($method, array $arguments = array()) {
        return parent::invokeMethod($method, $arguments);
    }

    /**
     * Overridden to make action methods filterable with `applyFilter()`
     *
     * @see \lithium\action\Controller::invokeMethod()
     * @see \lithium\core\Object::applyFilter()
     *
     * @param string $method to be invoked with $arguments
     * @param array $arguments to pass to $method
     */
    public function invokeMethod($method, array $arguments = array()) {
        return $this->_filter(__METHOD__, compact('method', 'arguments'), function($self, $params){
            return $self->_invokeMethod($params['method'], $params['arguments']);
        });
    }
}

Затем вы можете использовать applyFilter() внутри _init() для запуска фильтров в вашем методе. Вместо того, чтобы проверять $method в каждом фильтре, вы можете изменить _filter(__METHOD__, . . .) на _filter($method, . . .), но мы решили оставить более общий фильтр.