Misschien zou het beter zijn om niet te exiten met een 403, maar gewoon te zorgen dat er geen data verwerkt wordt en een foutmelding wordt getoond. Als mensen anders, goedbedoeld, links uitwisselen ofzo, zullen ze anders niet snappen waarom ze een 403 krijgen, en niet goed weten hoe ze "in het CMS" raken?
In add/edit zouden we dat relatief makkelijk kunnen doen met $this->frm->addError('csrf'), denk ik. Delete gaat wat meer kut worden, daar zit momenteel denk ik niets van controle alvorens de db-stuff wordt uitgevoerd?
In elk geval, dat hoeft niet meteen uitgevoerd te worden e (if ever - ik zie niet in waarom iemand een link naar "delete" zou delen); het zou gewoon een iets properder afhandeling zijn.