tp里的model是用来封装数据库模型的，而你要实现的是控制用户请求，这已经属于控制器的范畴了，所以不能这样$a = M('isonline');而应该是写一个全局的action，比如globalAction，让它继承tp的action，然后在 globalAction的_initialize()方法中session判断，
然后所有的需要权限判断的Action都继承globalAction，而不是系统的acton，这样每次实例化action的时候都会先检查用户session
我是个初学者，刚接触thinkphp没些天，理解的也不是很透彻，但tp源码就是这么写的，系统Action的构造函数：
public function __construct()
{
//实例化视图类
$this->view = Think::instance('View');
//控制器初始化
if(method_exists($this,'_initialize'))
$this->_initialize();
}
它会检查是否有_initialize方法。。。，有的话就调用initialize
