むしろちゃんと説明してなかったかも

CSRF対策のためにチケットを発行し、そのチェックをしたいのです。

1. ページ1でチケットを発行。セッションとページ1のhiddenに埋め込む
2. ユーザがPOSTする
3. セッション内のチケットとPOSTされたきたhiddenのチケットが同じであるかどうか
の照合をしたい

ということです。
addFormRule() を使うという手もあるかな?
うーん、よくわかんない...