Насчёт спама: Во нубищи...
Значит так, прога существует. Это раз.
Она получает GET-запросом сессию. Браузер не используется ВООБЩЕ.
Она отправляет POST-запрос напрямую. Браузер не используется ВООБЩЕ.
Как это обойти? Всё очень просто! Нужно лишь добавлять в форму какое-нибудь незначительное значение(к примеру, невидимый символ) в какое-нибудь поле и не выводить комментарии, не содержащие этого. Я добавлял через javascript, но м/б и так сработает.