also ich mein des läuft so:
wenn eine seite aufgerufn wird, wird diese immer auf dem server wo sie liegt aufgerufen, ich glaube nicht, dass wenn du ein php-script bei mir triggerst, dass der quellcode unverschlüsselt und ungeparsed zu dir übertragen wird, damit das ganze dann bei dir durch den server gejagt wird.
wenn ich mir jetzt einen browser in php nachbaue oder bestimmte funktionene nutze um urls aufzurufen, wird das scrupt auf dem fremden server ausgeführt und ich kann mir letztlich nur das ergebnis holen- mehr nicht.
und dieses ergebnis kann ich bei mir auch problemlos einbinden- ohne dass dein schutz was bringt.
mach dir lieber gedanken um xss, mysql-injection, session hijacking, also um so einen pillekrams wie den, den du hier hast- des is mMn wesentlich wichtiger.....