Как разрешить POST запрос только для определенного домена?
на заголовок  HTTP_REFERER  полагаться нельзя: его может вообще не быть, его легко подделать и все такое.
Вам не это ли нужно?$this->response->setHeader('X-Frame-Options', 'DENY');
$this->response->setHeader('X-Frame-Options', 'SAMEORIGIN');