Насколько опасно использовать HTTP-REFERER  ?

Я знаю, что данным клиента доверять нельзя. Знаю про токены, т.д.

Если делается POST, то URL запроса будет представлять собой HTTP-REFERER этого запроса. Понятно, что этот заголовок можно легко подменить. Но, ведь тогда на сервер придет уже ДРУГОЙ запрос, а не тот, который был изначально.

Например, если подменить домен, то запрос пойдет вообще на другой домен, т.е. сервер о нем даже не узнает.

Если подменить параметры POST-запроса - тогда сервер получит другие параметры. И если они будут противоречить друг другу - значит, сервер выдаст ошибку и всё.

Т.е., скажем, если пароль/логин пользователя противоречит другим POST-параметрам (действиям), то они просто не будут выполнены, да и все.

Есть ли изъян в этих рассуждениях?