運用はさて置いて、
「認証が出来てない状態でPOSTが出来てることがそもそもおかしい」
というのが直感。

この場合は
「POST元のページに認証をかけて、そもそもの条件が発生しないようにする」
が解。
（当然、認証外のPOSTは受け捨て）

……これじゃダメなんだろうってことは察するけどｗ