Lo único que puedes hacer es rechazar las peticiones.
Por mucho que alteres la funcionalidad del botón o la interfaz pueden mandarte 1000 peticiones simultaneas.

En estes casos puedes discernir lo que es un accidente de un ataque.
Si le quitas la funcionalidad al botón con javascript onclick="Enviar();this.onclick=null;"
el usuario solo puede enviar una petición. En la respuesta puedes volver a activar el botón si quieres desde PHP.
Si te envía más es obvio que está manipulando la funcionalidad de algun forma. Si es necesaria la sessión para esa funcionalidad se la cierras y o mandas al panel de login. Si se loggea más de X veces en menos de X tiempo, le suspendes la cuenta X tiempo.

Por ejemplo si se loggea 20 veces en 1 minuto, lo avisas o lo banneas 5 minutos o lo que sea. Si en menos de 24 horas lo repite múltiples veces le banneas la cuenta más tiempo.

Si quieres darles por culo, le pones verificación por número de teléfono en el registro de cuenta para que no registren una nueva cada vez que banneas.

Por eso. Cárgate el botón en el primer click.

Tienes onsubmit, removeEventListener, preventDefault y muchos etc.

Yo suelo hacer esto:

<form><button type="button" onclick="getElementsByTagName('form')[0].submit();this.onclick=null;">Enviar</button></form>

Si por lo que sea se siguen colando clicks te hice esta:

<form><button type="button" onclick="Enviar()">Enviar</button></form>
 
var _boton = {};
function Enviar()
{
   if(_boton.pulsado === undefined)
   {
   _boton.pulsado = 1;   document.getElementsByTagName('form')[0].submit;
   }
}

De todas formas se pueden craftear peticiones a mano.

El metodo ya lo tengo, es el que pase arriba de todo (javascript) pero lo que preguntaba era como pasar eso a PHP... veo mejor crear una variable PHP "sending_post" booleana

jeje por eso la parte del cliente ya la tengo, pase el código arriba... nada más quería saber como pasar un código similar como el que tengo arriba pero usando PHP que capaz tenga que usar AJAX la verdad todavía nose...