Могут ли посетители отправлять POST, если они не вошли в систему?

У меня есть код, который идет следующим образом:

if($_SESSION["verified"] !== true) {
header('location:login.php');
exit();
}

else {
//do code...
if(isset($_POST["submit"])) {
//do stuff with code...
}
}

Нужно ли указывать во втором теге if, что он должен запускаться, только если они вошли в систему?

if($_SESSION["verified"] !== true) {
header('location:login.php');
exit();
}

else {
//do code...
if(isset($_POST["submit"]) && $_SESSION["verified"] === true) {
//do stuff with code...
}
}

Чтобы люди не могли отправлять POST на страницу, к которой они не должны иметь доступ?
Или есть какой-то лучший способ сделать это?