Данные от клиента нужно просто всегда строго валидировать и фильтровать. Правило простое, никогда не доверять клиенту. В любой система типа клиент-сервер всегда неизвестно, кто находится на другом конце провода. Не нужно защищать сервер от замены данных клиента. Серверу должно быть пофигу реальный там клиент или поддельный, он в любом случае должен отдавать только то что у него попросили и не должен обрабатывать некорректные запросы.
