Даже если вы отключите это в своем app_controller, ваш индивидуальный контроллер может включить эту защиту. Как я догадываюсь, это то, что вы хотите сделать. Если не сообщите мне больше об этом.
function beforeFilter(){
parent::beforeFilter();
if(isset($this->Security) && $this->RequestHandler->isAjax() && $this->action = 'add'){
$this->Security->enabled = false;
}
}
Вы можете прочитать больше об этом здесь . Надеюсь, что это решит вашу проблему