Potresti usare una variabile di sessione...registrarci dentro il valore dell'host da cui sono partiti i dati e poi riverificarla nello script. E' più difficile da beccare di un campo hidden.