Jane, ну если ты так боишься взлома то $ref = strtr(htmlspecialchars(getenv('HTTP_REFERER')), array('&' => '&'));