Следует, видимо, защититься и от просмотра хидеров тоже. Метод "защиты" должен быть основан на передаче от вызывающего к вызываемому какой-то информации. Эта информация должна зависеть от имени "вызывающего файла" и не должна быть легко поставляема в запрос fsockopen. Я бы остановился на
$val=md5("собственное имя файла".$UID), где $UID - уникальное для этой сессии значение. Если сессия заводиться(а если она заводиться - то и проверка такая imho не очень нужна :)) - то разумно использовать SID, если заводить сессию не хочется - можно, к примеру, номер часа. Тогда при проверке нужно перебрать кроме "собственного имени файла" еще и номер текущего часа + то-же для номера предыдущего. Даже если "подглядеть" передачу удасться - польза кончиться через пару часов.
Передать-же эту информацию можно как и обычно - через Get, Post или Куки.

Ну, в принципе, да. Нужно, конечно, продумать что будет, если поьлзователь понаоткрывал много окон... Но. вроде , ничего криминального пока в голову не пришло :)
Есть также тонкость, что если сессии таки заводяться, то имя "передающего" файла можно просто в этой самой сесии и сохранить без дополнительных наворотов.