Belirttiğiniz olay için riskli bir kullanım şekli. Eğer aynı domain üzerinden (ve mümkünse aynı sunucu) link akışı sağlanıyorsa HTTP_REFERER kötü bir tercih. O linkten gelenler için o linkde işlem yapmanızı sağlayan ilgili kodlarda veritabanına kullanıcının IP bilgisi ve SESSION tarafında karmaşık bir key veya başka bir şekilde eşleştirilip, bayi bilgisini işleyip, alışveriş sağlaması doğrultusunda da buradan verilerle doğrulama yapılabilir. Dediğim gibi eğer sağlıklı bir sistem istiyorsanız.