Tem. É bem simples: Se você tiver uma variável vinda de um formulário via POST, você não deve cháma-la com $variavel e sim como $_POST['variavel']. Se o formulário tiver o método GET ou a variável for passada por query string [popular "?= na URL], você vai usar $_GET['variavel]. Se a variável for uma variável pré-definida do servidor, você usa $_SERVER['variavel'], se for de sessions, $_SESSION['variavel'] e se for de cookie, $_COOKIE['variavel']. Com isso você pode proteger que o usuário dê valores para variáveis internas via query string. Pra ter mais detalhes de como os usuários podem fazer isso, dá uma lida naquele link que eu te passei...