Qualquer coisa que venha de um navegador Internet pode ser facilmente falsificada em uma técnica conhecida em inglês como “spoofing”.
É perfeitamente possível que seu programa receba dados que não foram colocados lá por nenhum usuário e sim por um programa malicioso.
Este programa malicioso pode ser feito facilmente apenas com conhecimentos de HTML, criando-se uma tag <FORM> que chama a sua página passando os dados desejados.
Valide tudo que vier do navegador, como por exemplo:
•Se as strings tem comprimento adequado; não confie no máximo especificado em uma tag <INPUT>
•Se o valor retornado por uma tag <SELECT> foi realmente colocado lá
•Se os radiobuttons são realmente mutuamente exclusivos