Visto che il referer viene inviato dal browser e si può quindi manipolare, molto semplicemente NON fai affidamento a questa variabile, in quanto insicura