Есть форма, через которую личные сообщения рассылаются.
Форма и вставка в базу самодельная, а использую базу для сообщений форума.

Как защитить форму от спама?
Пока что добавил просто поле с XID

Добавь каптчу, в документации есть информация как её использовать.

Я форму вручную создавал, чтобы потом просто post данные обрабатывать на следующей странице.