Доброго дня.
Есть у меня на сайте простая форма для ввода емейла тем, кто хочет получать новости. посетителей мало, пока никто не гадил, но решил всетаки немного обезопасть ее. Вот код:

if (isset($_POST['text_mail']))
{
	$ad = $_POST['text_mail'];
	$ad = mysql_real_escape_string ($ad);
	$sobaka = stripos($ad, "@");
	$tochka = stripos($ad, ".");
	if ($sobaka !== false && $tochka !== false)
	{
	if(($aipi = @$_SERVER['HTTP_X_FORWARDED_FOR']) === null) 
    {$aipi =  $_SERVER['REMOTE_ADDR'];}
	$num_rows_ad = 1;
	if ($aipi !== null)
	{$sql = "SELECT * FROM podpiska WHERE other='$aipi'"; 
    $result = mysql_query($sql) or die(mysql_error() .'<br/>'. $sql); 
	$num_rows_ad = mysql_num_rows($result);}	
	if ($num_rows_ad < 5)
	{
	sleep(3);
	$dt = date("l dS F Y h:i:s A");
	$sql = "INSERT INTO podpiska (adres,data_over,other) VALUES ";
    $sql .= "('$ad','$dt','$aipi')";
    mysql_query("$sql");}
	}
}

Все скромно - экранирую спецсимволы, проверяю наличие в тексте точки и собаки, определяю IP, если определился смотрю сколько в базе записей с таким IP, если меньше 5, то "сплю" 3 секунды на всяк случай и вношу запись в базу.
Понятно, что если IP не определится или придет робот-спамер, генерирующий IP, то защита не прокатит, но капчи ставить не хочу, а других мыслей пока нет.
Вопросы:
1. что еще можно придумать, чтоб не обнаружить очередным утром полтора миллиарда адресов в базе?
2. строчки, определяющие IP я стянул с уроков IRBISa, но не могу найти что значит символ @ в обращении к суперглобальной переменной @$_SERVER?
3. как правильно обнулить/очистить значение гл.массива POST после выполнения скрипта, поскольку, если по каким то причинам обновить страницу, то в базу внесется еще одна запись? можно ли это вообще сделать?