Salut,
j'essaye pour m'exercer avec l'Ajax de faire un système de favoris: une liste de films avec pour chacun un bouton en forme de coeur pour mettre le film en favoris.
Pour cela j'utilise sur chaque <li> de ma liste de film un attribut html5 data-id=[id_du_film], que je récupère avec jQuery , et j'insère cet identifiant dans la base de données avec une requête en ajax dans une table favoris.
Mais l'utilisateur peut facilement bidouiller l'attribut data-id d'un film, avec Firebug par exemple.
C'est possible de détecter que l'attribut a été bidouillé, ou ne correspond pas a l'élément sur lequel on a cliqué?

Je pense pas que ce soit possible de vérifier si l'utilisateur a modifié le code HTML...

Pour ton exemple : si l'utilisateur modifie l'id c'est sa merde, il aura un film quelconque en plus en favori ou il aura une erreur que tu lui auras envoyer parce qu'il ne peux pas avoir ce film en favori (film déjà en favori, film inexistant, ...)

je suis novice avec l'Ajax mais dans la page qui contrôle l'ajout du favoris dans la base de données je ferai un contrôle de la variable de la page REFERER du client et si elle correspond à l'id qui est mis en favoris

Le référant ne serait utile que dans le cas où la page d'origine ne contient que le film demandé, ce qui réduit à néant les avantages de l'Ajax pour le problème initial.
Et le référant, ça se modifie aussi, c'est pas plus fixe qu'un useragent.

Non, pour l'auteur, il n'y a pas de moyen de vérifier comme ça. Tu trouveras toujours des bidouilles (le premier truc débile qui me vient en tête c'est calculer la position du scroll pour déterminer si l'utilisateur a dans son champ de vision l'élément qu'il favorise, mais c'est, là encore, modifiable côté client (et stupide)), mais ça sera jamais correct.
Dans l'exemple que tu donnes, on a envie de dire "on s'en fout". S'il l'utilisateur veut mettre en favoris le film 5 en cliquant sur le film 32, c'est son problème et ça n'affecte pas l'intégrité du système.
Si, par contre, ta situation réelle est plus complexe, il faut toujours vérifier les données envoyées côté serveur, tout comme tu le ferais avec n'importe quelle soumission par formulaire (puisqu'une requête Ajax, c'est plus ou moins la même chose, la différence c'est juste pour l'expérience utilisateur).

Vérifie côté serveur que l'ID est bien l'ID d'un film

Après si le mec veut s'amuser a bidouiller pour mettre en favori dans son compte Titanic plutôt que Transformers y'a pas de pb niveau sécurité..

Il ne faut JAMAIS, au grand JAMAIS, faire confiance à l'utilisateur. L'utilisateur cherche toujours à mal, l'utilisateur fait toujours des bêtises, et l'utilisateur se gourre tout le temps. Faut vraiment partir du principe que toutes les vérifications sont faites côté serveur. Tu peux en rajouter côté client pour l'ergonomie, mais pour la sécurité c'est côté SERVEUR, toujours. Aucune technologie côté client n'est fiable, aucune n'est infaillible. Ne serait-ce que parce qu'on peut t'envoyer des requêtes d'ailleurs qu'un navigateur, via ligne de commande par exemple (ou toute librairie de requête type Faraday en Ruby).

Tu peux stocker la liste des id des films affichés dans une session (ou tout autre système non modifiable coté client) vérifier que le choix de l’utilisateur (dans la requête ajax) correspond à un des éléments de cette liste.