можно ходить по каждому контроллеру и развешивать ему allow/deny проверки, а можно их сгруппировать в один роут/модуль и проверять при заходе юзера в защищенный раздел url
по начитаются своих книжек, а потом мучаются сидят, голову ломают.. как же сделать так как написал какой то хмырь под коксом.. всегда работало, проблем не было