Najczęściej w takich wypadkach zapisuje się w bazie IP usera oraz czas akcji/dodania czy coś tam - nic prostszego, niż to wykorzystać - sprawdzasz, czy akcja jest z tego samego IP - jeśli jest, to liczysz różnicę czasów. Metoda ta ma tą zaletę, że możesz ustawić, by np. dodawano wpis maks. raz na godzinę.
Drugi sposób jest bardziej "elo" - generujesz w formularzu token:
<?php
?>
- i umieszczasz w inpucie hidden. Wystarczy teraz odpowiednie pole w bazie z klauzulą unikalności. W przeciwieństwie do pierwszej metody ta NIE ZABEZPIECZA przed spamem, a jedynie przed dwukrotnym wysłaniem tego samego formularza.