Jak zabezpieczyć skrypt php tak żeby wykonywał się tylko jeżeli formularz został wysłany z serwera na którym znajduje się ten skrypt?

$_SERVER['HTTP_REFERER']

To i ja się zapytam, HTTP_REFERER to żadne zabezpieczenie możemy to dowolnie edytować, jest na to jakieś inne rozwiązanie ?

Druga sprawa, to fakt, że czasami $_SERVER['HTTP_REFERER'] nie jest wysłany.
Jeżeli to jest na tym samym serwerze to może sesja?

sesja + wygenerowany token

poczytaj o CSRF