Non è con i nomi dei campi che impedisci ad un utente di "fregarti".
Ad esempio puoi usare

request.servervariables("HTTP_REFERER")

per verificare e validare la pagina di provenienza del form.
In questo modo solo se la pagina di provenienza è la tua il form viene processato altrimenti no.

Roby