form sendt fra samme server

Helt simpelt kan du se på $_SERVER['HTTP_REFERER'] - men den værdi kan sættes manuelt eller via HOSTS filen.
Hvis du skal være mere sikker, så du sikre sig at din FORM-side giver brugeren et nyt session_id og huske dette (i database eller fil) - når formen så submittes, så skal du sammenligne det session_id der nu eksisterer med det gemte.

hvad mener du med at den kan sættes manuelt eller via hosts filen?

Hvis jeg i mig egen HOSTS fil laver linien:
127.0.0.1    mit-domæne.dk
så vil alle kald til mit-domæne.dk komme til din egen server. Så den måde kan du opbygge en "falsk" form som du senere sender mod den rigtige server.

Hvis du laver et HTTP request manuelt, så kan du også sætte HTTP_REFERER:
POST /script.php HTTP/1.1
Host: mit-domain.dk
Referer: http://mit-domain.dk/form.php
....