medium
medium相比low多了个“referer”和“当前运行脚本所在的服务器的主机名”的验证。
’HTTP_REFERER’
引导用户代理到当前页的前一页的地址（如果存在）。由 user agent 设置决定。并不是所有的用户代理都会设置该项，有的还提供了修改 HTTP_REFERER 的功能。简言之，该值并不可信。
’SERVER_NAME’
当前运行脚本所在的服务器的主机名。如果脚本运行于虚拟主机中，该名称是由那个虚拟主机所设置的值决定。
注意: 在 Apache 2 里，必须设置 UseCanonicalName = On 和 ServerName。 否则该值会由客户端提供，就有可能被伪造。 上下文有安全性要求的环境里，不应该依赖此值。
PHP $_SERVER[‘PHP_SELF’]
S E R V E R [ ′ P H P S E L F ′ ] 表 示 当 前 p h p 文 件 相 对 于 网 站 根 目 录 的 位 置 地 址 ， 与 d o c u m e n t r o o t 相 关 。 假 设 我 们 有 如 下 网 址 ， _SERVER['PHP_SELF'] 表示当前 php 文件相对于网站根目录的位置地址，与 document root 相关。 假设我们有如下网址， S?ERVER[′PHPS?ELF′]表示当前php文件相对于网站根目录的位置地址，与documentroot相关。假设我们有如下网址，_SERVER[‘PHP_SELF’]得到的结果分别为：
http://www.baicai.link/index/ ：/index/index.php
http://www.baicai.link/cate/miandan.html ：/cate/miandan.html
http://www.baicai.link/php/index.php?test=foo ：/php/index.php
http://www.baicai.link/php/index.php/test/foo ：/php/index.php/test/foo
$_SERVER[‘PHP_SELF’]-参考文章
原理：浏览器的同源策略