Como desenvolvedor, você sempre deve pensar no pior cenário possível e sempre levar em conta a inexperiência (pra ser bonzinho) dos usuários.
Você pode ter algum JS que intermeie alguma ação de repetição daquela requisição (F5, por exemplo), mas você também deve considerar aquele usuário que realmente tem algum conhecimento no assunto e, por exemplo, navega com o mínimo de JS habilitado (como eu) o que potencialmente anularia sua suposta "proteção".
E é nesse ponto que entra a verificação do lado servidor. Você tem duas opções e ambas podem ser implementadas em paralelo:
Aceitar múltiplas inserções, mas permitir ao usuário visualizar as transações efetuadas e, se for o caso, remover alguma duplicidade por conta própria, como num Carrinho de Compras que tem uma visão geral dos pedidos antes de efetuar a compra.
Distinguir se uma requisição é um novo envio ou um recarregamento armazenando em uma session um hash de todas as informações do formulário e só inserir de fato caso seja realmente uma submissão.
Essa segunda alternativa é bem simples, basta armazenar na sessão um hash MD5 de tudo o que se tem no formulário:
<?php
session_start();
if( $_SERVER['REQUEST_METHOD']=='POST' ) {
$hash = md5( implode( $_POST ) );
if( isset( $_SESSION['hash'] ) && $_SESSION['hash'] == $hash ) {
// Refresh! Não faz nada ou re-exibe o formulário preenchido
} else {
$_SESSION['hash'] = $request;
// Submissão legítima! Insere ;)
}
}
?>
<form action="" method="post">
<input type="text" name="field" value="value" />
<input type="submit" name="send" value="send" />
</form>