non è molo chiaro... ma se non puo leggere a lavorare il referer non puoi far nulla in automatico

prova a spiagare meglio


edit: se dici che il server riceve comandi via querystring perché dovresti farlo "solo" in html?