Bonjours, je suis en train de créer un jeux php ou le joueur aura à sa tête une "ville", devra gerer ses ressources, son armée, ses défenses etc...

Tout d´abord, j´ai vu sur le site du zero (et oui je suis un zero) que pour sécurisé un formulaire on peut utiliser htmlentities, ENT_QUOTES mais je ne comprend pas grand chose avec toutes les fonctions qu´on trouve sur le web qui servent sois-disant à sécuriser, donc voila ^^, je me pose la question sur le bon bout de code à executer.

En suite, j´ai fait une page ressources.php dans laquelle il y a des formulaires ^^, les valeurs de ces formulaires sont ensuite mis dans la bdd via la page gestion-ressources.php.
Mais je crain que quelqu´un puisse faire une page à lui qui enverai des variables à gestion-ressources.php qui contiendraient n´importe quel nombre et donc il pourais tricher en s´apropriant pleins de ressources.
J´ai mis :
if (isset($_SESSION[´id_pseudo´]))
{
code php
}
($_SESSION[´id_pseudo´] est créé à la connexion du joueur) mais je ne sais pas si c´est suffisant.

J´espere avoir bien expliqué mon cas ^^, merci d´avance pour vos réponses

Tu vérifie d´où vient le formulaire peut être, avec la fonction : $_SERVER["HTTP_REFERER"]

http://perso.univ-rennes1.fr/pascal.aubry/doc/php_variables/_server.php

Ah oué pas mal, merci beaucoup de ta réponse !

Sinon pour sécuriser mes champs de formulaires, y a t-il des idées ^^ ?

ça depend ce que tu en fait...
Si tu fais un affichage brute
http://fr3.php.net/htmlspecialchars
Si tu fais de l´enregistrement sql
http://fr3.php.net/manual/fr/function.mysql-escape-string.php
...

Commme l´a dis Wolf18 verifie chaque provenance de tes POST, regarde si ils contiennt ce qu´ils doivent contenir (que des chiffres par exemple,
http://fr3.php.net/manual/fr/ref.ctype.php )

[...]

Tu peux aussi eviter un maximum l´utilisation des GET car ça incite a faire de l´injection

C´est effectivement des nombres que je veux recuperer dans mysql, alors je pourais utiliser ctype_digit (qui verifie si la chaine de caractère est un nombre) mais alors faut-il que je mette mysql_real_escape_string() ? ou d´autres comme htmlentities() par exemple ?

Et quand je ferais de même pour les chaines de caractères (forum/MP etc...), est-ce que mysql_real_escape_string() ne me fera pas afficher des slashs à la lecture des champs de ma table ?

Lis la doc, fait des test sur des truc bidon.
Si tu sais a quoi sert une fonction (cf doc), tu saura l´utiliser au bon moment.

Lis la doc, on est plutot chanceux d´en avoir une comprehensible