PHP HTML Form İşlemleri

öncelikle dediğiniz şeyin bir imkaniyeti yok.
XSS denen şey istediğiniz olsaydı zaten olmazdı.
ID değerini session vs. şeyler ile taşıyabilirsin
Ancak html manipule diye bir şey yok adamı js vs. ilede durduramazsın çünkü sayfanda yazarak js de müdahale edilebiliyor.
Php de kontrollerini sıklaştır nasıl bir sistemde ihtiyaç duyuyorsun kişi tam olarak ne yapıyor belirtirsen daha detaylı yardımcı olabilirim

Senaryodan bahsedeyim.
1-Database'den tüm üyelerin listesini bir tabloya çekiyorum.
2- Her üyenin satırına "düzenle" isimli bir buton koyuyorum ve düzenle butonunun valuesunu, database'den gelen primary key olan uye_id olarak tanımlıyorum.
3-Butona basınca, butonun valuesunu çekerek, hangi üyenin düzenlenmesi gerektiğini sisteme söylüyorum value="4" ise id'si 4 olan üyenin bilgilerini getir diyorum.
Bu durumda mesela id'si 4 olan üyenin butonuna sağ tıklayıp value'yu 5 yaparsam ve ardından o butona basarsam id'si 5 olan üyenin bilgileri geliyor. Bunun ileride güvenlik açığı oluşturacağını düşünüyorum.

Hocam bu bir güvenlik açığı değil siz zaten bunu bir panelin içine koyacaksınız.
Bu ekrana gelmek için bir kullanıcı adı / şifre geçilecek.
Eğer ki kullanıcı seviyesi belirleyip her işlem sonrası bunuda eşleştirirseniz değiştirilmesi bir sıkıntı yaşatmaz.
Mesela siz panele giriş yaptınız seviniyeniz moderatör ve siz bir şekilde kullanıcı düzenle sayfasına id 5 değerine sahip bir kullanıcı ile düzenleme sayfası açtınız
Sayfada düzenleme işlemi yaptığınızda kullanıcının böyle bir işleme yetkisi olup olmadığını kontrol ederseniz otomatik olarak neyi değiştirmeye çalıştığı önemsiz olur
Ayrıca zaten seviyelendirme yaptığınızda o sayfalara otomatik giremez yani sayfa yüklenmez yetkiniz yok der yada direk ana dizine atar o şekilde ayarlarsınız.
Sağ tık ile id numarası değiştirme bir açık değildir ve engellenemez.
Siz o ekrana girişi güvenli hale getirin wordpress sitenize yeni yazı ekleyeceğiniz zaman önüne gelen ziyaretçi mi bu ekraa ulaşıyor yoksa admin paneline girebilen mi ?
Yönetim panelinizin içine gene XSS için vs. temizleme kodları koyun ama o kadarda sıkıntı edilcek bir durum değil sizinki.

Hocam, id si 18 i değiştirmeye yetkisi olanın 20 yi değiştirme yetkisi de olur. Yani adam o sayfaya girmişse zaten orada yetkisi var demektir.

Bakın önemli bir nokta; hiçbir zaman client karar verici olamaz!! Yani siz istediğiniz kadar client ta js ile yada html ile önlem alın, işe yaramaz.

Eğer bir kullanıcı 1 den 100 e kadar id li veritabanı sonuçlarını görebiliyorsa ve siz bu kullanıcının 20 yi değiştirebilmesine rağmen 18 i değiştirmesini istemiyorsanız bu önlem clientta alınmaz. Sizin veritabanınızda bu kullanıcının 18 i değiştirmeye yetkisini kısıtlamanız lazım. Kullanıcı bunu butondan göndermez postmandan gönderir, curl ile gönderir, ajax ile gönderir. Bir şekilde gönderir. Siz server tarafında bu post geldikten sonra önleminizi almalısınız. Post un gönderilmesini engelleyemezsiniz.

Dolayısıyla sizin yapabileceğiniz en doğru şey client a iş bırakmamaktır. En ufak bir karar bile almamalıdır client. Üstüne basa basa söylüyorum. Client karar alamaz.

Bol şans.