Артур

Можно поменять порядок применения правил, с "все что не разрешено - запрещено", на "все что не запрещено - разрешено". Посмотрите доку к AccessControl

Не использовать AR, вставлять/обновлять пачками

findall('table.client_id = :client_id', …)

После регистрации любых данных в бд, записать пользователю в куки его user ID. При последуюем входе, если с таким юзер айди есть в базе данные, вытащить их и заполнить.