Login sicuro e livelli di utenza

[oly1982]

Originariamente inviato da DKiller92
evitare Cross Site Request Forgery

sono interessato all'argomento e, leggendo uno dei link, ho pensato ad una cosa di questo genere

function protection_cross_request()
    {
    if (isset($_SERVER['HTTP_REFERER']) && $_SERVER['HTTP_REFERER']!="")
        {
        if (strpos($_SERVER['HTTP_REFERER'],$_SERVER['HTTP_HOST'])===FALSE)
            {
            return FALSE;
            }
        else
            {
            return TRUE;
            }
        }
    return FALSE;
    }

protection_cross_request() or die ('andò vaiiiii??!');
?> 

Ma la domanda che mi sorge è la seguente:
un utente malintenzionato può agire su HTTP_REFERER modificandolo a proprio piacimento?

oppure peggio ancora...

http://forum.it.altervista.org/php-m...p_referer.html