Дмитрий

Насколько я помню сетевые технологии, к которым на самом деле относится вопрос "Можно ли подделать IP адрес", подделать исходящий адрес в TCP заголовке можно. И такой запрос пройдет проверку. Но ответ на него уйдет на этот поддельный IP. То есть соединение оборвется на этапе TCP хэндшейка

Отсюда можно сделать вывод: подделать адрес можно, но это не поможет сделать что-то вредоносное.

Если поставить этому вопросу нормальные теги, а не взятые с потолка, то ответят настоящие специалисты в этом вопросе.

Тег option не зря парный, а не одиночный, каким вы попытались его сделать.
И внутри тега как раз таки пишется то, что видит пользователь, а в value то, что уходит на сервер.

Если проверять то, что пишете валидатором, то и проблем будет меньше.

Может быть есть более правильный вариант....

INSERT ... ON DUPLICATE KEY UPDATE