最低限舐められないための対策

<?php
//CSRF対策を追加した掲示板

header('content-type:text/html;charset=UTF-8');

//セッションを使う
session_start();

/*
//リファラチェック

//現在のURL
$here = (empty($_SERVER['HTTPS'])?'http://':'https://').$_SERVER['HTTP_HOST'].$_SERVER['REQUEST_URI'];
//リファラ
$ref = (isset($_SERVER['HTTP_REFERER'])?$_SERVER['HTTP_REFERER']:'none');
*/


$html_file = '先ほどのHTMLを保存しているパス';

//投稿内容を保存しておくファイルのパス　ここではphpと同一ディレクトリに「chat.txt」の名前で保存する。
$chat_file = 'chat.txt';

//投稿したらこの処理をする
if (isset($_POST['name'], $_POST['message'], $_POST['token']) && (isset($_SESSION['token']) && ($_SESSION['token'] === $_POST['token']))){
/*
//リファラチェック
    if ($here !== $ref){
        echo 'リファラチェックで防御しました。';
        exit;
    }
*/
    //特殊文字を変換　メッセージは自動改行も
    $name = htmlspecialchars($_POST['name'], ENT_QUOTES, 'UTF-8');
    $message = nl2br(htmlspecialchars($_POST['message'], ENT_QUOTES, 'UTF-8'), false);
    file_put_contents($chat_file, '<p><b>'.$name.'</b></p><p>'.$message.'</p><hr>', FILE_APPEND | LOCK_EX);

    //「フォーム再送信」を防止するために、リロードする
    header('Location:./');
    exit;
} else {

    //乱数を生成
    $token = base64_encode(random_bytes(random_int(64, 100)));

    //セッションに保存。これがワンタイムパスワードのようなもの
    $_SESSION['token'] = $token;
}

//投稿内容を保存するファイルが存在し、かつ中身があること
if (file_exists($chat_file) && !empty(file_get_contents($chat_file))){

    //ファイルの中身を取得
    $content = file_get_contents($chat_file);
} else {
    $content = '誰も投稿していません。';
}

//投稿内容の下に投稿フォームを追加
$content .= '<form action="" method="POST"><input type="hidden" name="token" value="'.$token.'">
<p><label>名前<input type="text" name="name"></label></p>
<p><label>メッセージ<br><textarea name="message" rows="5"></textarea></label></p>
<p><label><button type="submit">投 稿</button></label></p></form>';

echo str_replace('{CONTENT}', $content, file_get_contents($html_file));