Таким способом можно только максимально альтернативно одарённых людей "взламывать". Да и думаю Instagram уже давно вместо кук используют токены, привязанные к IP.
Это какое-то хреновое решение, использовать под такие вещи декораторы. Тут можно решить, например, через middleware (вызов из метода обработать сперва кэшем, затем ещё логером).
То есть, по аналогии с реквестом. У тебя до и после того, как запрос попадает в контроллер, выполняются экшны самого Yii2. Вот тут надо тоже самое, по идее, делать