Weblogin nur für "localhost"

[Beat]

auf meiner Webseite habe ich einen Login in dem Benutzer Daten in meine Datenbank einpflegen können. In letzter Zeit gibt es diverse Nasen die meinen über Scripte einen Login vornehmen zu müssen und automatisiert Daten über die Webformluare abzusetzen.

Ich habe mir überlegt den Referer zu prüfen, aber das ist mir zu unsicher. Meine 2te Idee war es Captcha einzubauen, aber das schreckt ab.

Meine Frage an euch: Wie würdet Ihr versuchen euren Login nur über die Angebotetene Weboberfläche zugänglich zu machen?

Cookies (wer sich einloggen will, muss das Login Formular mindestens verlangt haben. Also heisst es Cookies vor all.)
Validieren des Requests. Spambots sind manchmal nicht in der Lage, minimalste HTTP Regeln einzuhalten.

mfg Beat