Nie wiem jaka opcja jest odpowiedzialna aby formularze były obsługiwane tylko z serwera, aby użytkownik po zapisaniu formularzu na dysku nie mógł edytować takiego formularza.

Ale o co chodzi? Jak masz formularz na stronie, to wystarczy, że źródło sobie skopiuje i już widzi kod + ma formularz.

Chodzi o to aby z dysku nie wysłał akcji na serwer.

Takie rzeczy obsługuje się ręcznie, np. przy pomocy ciastek, sprawdzania HTTP_REFERER, ukrytych tokenów... Ale to i tak jest do obejścia

To czego szukasz to atak typu CSRF. A mając już nazwę znajdziesz sposoby obrony.

SecFilterScanPOST
o to chodzilo