Seguridad. PHP + Ajax

[marlanga]

Para que no te cambien los valores, ya te he explicado cómo se soluciona por la vía rápida.
Otra solución, que también se está poniendo de moda en sistemas que hacen muchas operaciones asíncronas, es usar UUIDs como identificadores en todas las tablas, así es imposible que a mano crees una key que de la casualidad que exista.

Es muy mala idea que una ruta te ejecute acciones distintas. Una ruta, una operación. O te morirás manteniéndolo.

En cuanto a que el usuario ejecute operaciones que no puede, para eso están los sistemas ACL y roles de usuarios. Usa o implementa uno en tu sistema de usuarios.