$_SERVERのHTTP_HOSTはHostヘッダだが
SERVER_NAMEはApacheであればその設定通りで
ユーザ側で偽装はできないだろ