我想防止人们使用cURL对我的php文件，不仅cURL，但每一个POST请求来自不是从我的网站
我在想一个方法，如果这个过程是错误的，请告诉我。
我有一个简单的POST表单，根据$_POST详细信息执行操作：

form.php：

<?PHP
session_start();
session_regenerate_id();

if( isset($_POST['username']) && isset($_SESSION['pass']) )
{
    // start mysqli query to check the details
}
?>

这样，客户端可以使用cURL并向form.php发送大量POST请求，
if语句总是返回true。
现在，我这样想：
当客户端在我的域中时，我将创建一个唯一的令牌并将其保存在会话中，
例如：$_SESSION['UID'] = getRandomToken（）;
此代码将仅在名为的单独文件上运行：createUID.php：

<?PHP
session_start();
session_regenerate_id();
$_SESSION['UID'] = getRandomToken();
?>

这段代码运行在我网站上的每个请求上。
下面是更新后的form.php：

<?PHP
session_start();
session_regenerate_id();

if( ! isset($_SESSION['UID']) )
{
    die('You are trying to use cURL.');
}

if( isset($_POST['username']) && isset($_SESSION['pass']) )
{
    // start mysqli query to check the details
}
?>

这样，当客户端尝试在form.php上使用cURL时，他将需要设置$_SESSION ['UID']以继续代码。当用户通过cURL向form.php发送请求时，$_SESSION ['UID']永远不会被设置，因此代码将死亡。
为了知道这种技术是否安全，我有一个问题：客户端是否会向createUID.php发送一个设置$_SESSION ['UID']的请求，然后向form.php发送一个已经设置好的$_SESSION ['UID']的请求？（不仅是cURL）
我使用两个cURL请求进行了测试：
test.php:

<?php
session_start();
session_regenerate_id();

$url = "http://localhost/createUID.php";
$ch = curl_init();
curl_setopt($ch, CURLOPT_URL, $url);
curl_setopt($ch, CURLOPT_HEADER, false);
curl_exec($ch);

$url = "http://localhost/form.php";
$data = array('username' => 'admin', 'pass' => '123456');
$ch = curl_init();
curl_setopt($ch, CURLOPT_URL, $url);
curl_setopt($ch, CURLOPT_HEADER, false);
curl_setopt($ch, CURLOPT_POST, 1);
curl_setopt($ch, CURLOPT_POSTFIELDS, $data);
curl_exec($ch);

?>

createUID.php:

<?php

session_start();
session_regenerate_id();
$_SESSION['UID'] = '456a4sd56a4s65d4as'; //example of a random token

echo 'session of createUID.php: ';
print_r( $_SESSION ); //will print 456a4sd56a4s65d4as
echo '<br /><br />';

?>

form.php:

<?php

session_start();
session_regenerate_id();

echo 'session of form.php: ';
print_r( $_SESSION ); //will print nothing
echo '<br /><br />';

if ( ! isset($_SESSION['UID']) )
{
    die('Not allowed');
}
?>

结果是if（！isset（$_SESSION ['UID']））将始终返回true。
你觉得呢？
谢谢！