Jasně, jen podle IP je to strašně nespolehlivý. Ale když se sledujou i ostatní hlavičky požadavku (user agent, jazyk, cookies), dá se z toho už celkem udělat přehled o koho jde. A takovýho pak nějak limitovat. I když jak psal před Vámi někdo, tohle nemůže ten server stíhat vyhodnocovat, v takovém okamžiku už je pozdě.