Пользователь же указывает какие-то данные (типа тел или мыло) вот его и проверяете. + проверки что писали выше (сессии, куки, капчи) - это для чтобы вас не использовали как спам сервер.