アプリケーションレベルでのアクセス制限といえば、普通は認証の仕組みだろうし、
HTTP_REFERERによる確認は、
認証とはいい難いHTTP独自の一種のバッドノウハウだろう。