Weblogin nur für "localhost"

[Beat]

Cookies (wer sich einloggen will, muss das Login Formular mindestens verlangt haben. Also heisst es Cookies vor all.)
Validieren des Requests. Spambots sind manchmal nicht in der Lage, minimalste HTTP Regeln einzuhalten.

der OP scheint zu verstehen was du genau meinst, ich leider nicht.
....muss das Login Formular mindestens verlangt haben.....?

Ein Request, der ein Formular verlangt, und dabei kein Cookie sendet, das in einer Datenbank als existent und valide vermerkt wird, ist mit einer Sorry, "Sie haben ihren Keks vergessen"-Meldung zu vertrösten.

Fall A

Browser sendet Name und PW aber kein Cookie.
  Login abgelehnt.

Fall B
Browser verlangt eine Seite, die ein neues Cookies ausgibt
  Server sendet Seite, diese beinhaltet das Login Formular
Browser sendet Name und PW mit Cookie.
  Cookie kann validiert werden
  -> Login Prüfung

Wann und wie genau du ein Cookie ausgibst,
kann verschieden gehandhabt werden.

mfg Beat