Hallo Lukas,
Ich möchte das aber so handhaben, dass wenn ein User an der URL "rumpfuscht", eine Fehler-Seite (403.html) angezeigt bekommt.
Das geht nicht. Du kannst nicht unterscheiden ob die URL von deinem System ausgegeben und per Link vom User aufgerufen wurde oder ob er selbst die URL per Hand aufgerufen hat. Aber wo liegt dein Problem? Du hast doch schon eine Abfrage eingebaut ob der User die Nachricht aufrufen darf ...
Gruß,
Tobias