Comment empecher les failles de type GET

[Xenos]

Si le joueur ne peux voir que son village (autrement dit, il n'a qu'un village), alors pas besoin de paramètre GET:

SELECT * FROM village WHERE player_id = ? [LIMIT 1]

Si le joueur peut avoir plusieurs villages, alors tu peux utiliser un paramètre "GET" qui ne prend non pas le n° du village, mais le n° d'ordre du village dans la requète:

SELECT * FROM village WHERE player_id = ? [ORDER BY id ASC] LIMIT $_GET['numero'], 1

(Attention: l'exemple est une horreur niveau injection SQL, donc à ne pas utiliser tel quel, c'est pour le principe)
Tu peux aussi stocker ce n° (le $_GET[]) dans une variable de session, et permettre au joueurs d'incrémenter/décrémenter ce n°. Ainsi, aucune paramètre "GET" ne spécifie directement un numéro: les paramètres GET ne spécifient qu'un +1 ou -1 (et ce n'est même pas un +1/-1 de l'id du village, mais un +1/-1 du numéro du village dans la liste des villages possédés par le joueur).

Code PHP :

<?php 

$_SESSION['numero'] += (int)($_GET['increment']) - (int)($_GET['increment']);