Rsa97

$parameter1_variants = [
  'variant1', 'variant2', 'variant3', ..., 'variant300'
];
...
if (in_array($_GET['parameter1'], $parameter1_variants)) {
  ...
}

UUID v4 вас спасёт.
P.S. Но захотят спарсить - спарсят. Просто возьмут список товаров прямо с вашей страницы. Вы ведь собираетесь их все где-то публиковать.

Строка в одиночных кавычках не раскрывает переменную.

Триггер на изменение поля и запись в отдельную таблицу изменений.

Если я правильно понимаю WSDL, то у запроса getMessage единственный параметр - MessageId.

6.1.2. Метод получения сообщения GetMessage предназначен для получения xml сообщения в соответствии с определенной для конкретного сервиса схемой.
6.1.2.1. Сигнатура метода: GetMessageResponse GetMessage(GetMessageRequest request) throws AuthenticationException, MessageNotFoundException,
где
GetMessageRequest – запрос, содержащий единственный элемент MessageId – идентификатор сообщения, присвоенный запросу, который требуется передать для получения ответа.
GetMessageResponse – ответ, содержащий 2 элемента: ProcessingStatus – статус выполнения запроса, и Message – сообщение, который позволяет содержать любой xmlс обязательным указанием схемы. ProcessingStatus – перечисление, с двумя значениями: PROCESSING –запрос обрабатывается, COMPLETED –обработка запроса завершена.
Элемент Message возвращается только в случае,если ProcessingStatus равен COMPLETED

https://www.nalog.ru/files/kkt/pdf/%D0%A2%D0%B5%D1...

SELECT `id_question`,
  COUNT(*) AS `correct_answers_total`,
  SUM(`id` IN (1, 2, 6, 7)) AS `correct_answers_users`
  FROM `answers`
  WHERE `correct_answer` = 1
  GROUP BY `id_question`

Прочитать логи, увидеть сообщение о синтаксической ошибке в запросе и убрать лишнюю запятую.

А в документации PHP искать не пробовали? dirname()

Вот код ниже, но что-то не работает

Вот это что-то, что не работает, и править. Что именно не работает - смотрите в логах.

Не должно быть в одной ячейке таблицы сразу несколько значений - это один из основных принципов реляционных баз данных.
Сделать такое, конечно, можно, но это будет говнокодом и в приличном обществе за такое бьют канделябрами.
По хорошему, вам надо создать отдельную таблицу, связанную с основной отношением многие-к-одному.

Эта строка просто проверяет, что ответ получен (запрос завершён, XMLHttpRequest.DONE) и не было ошибки (статус ответа 200 OK).

Валидировать на сервере надо всё, что приходит от клиента. И не просто валидировать, но и проверять авторизацию клиента на заданную операцию с конкретными данными.