Paypal - Fichier IPN

Bonjour,

j'ai un petit problème car les utilisateurs peuvent modifier le code source des champs caché en l'occurence le prix de l'article, dans mon fichier ipn.php je fait un SELECT pour comparé ce que le client achète à ma base de données, donc le nom et le prix, mais c'est de la que j'ai un problème ça passe quand même si je modifie le code source du montant.

pourriez vous me donner un petit coup de pouce s'il vous plaît.

voici le code de mon fichier ipn.php

<?php

$raw_post_data = file_get_contents('php://input');
$raw_post_array = explode('&', $raw_post_data);
$myPost = array();
foreach ($raw_post_array as $keyval) {
  $keyval = explode ('=', $keyval);
  if (count($keyval) == 2)
     $myPost$keyval[0]] = urldecode($keyval[1]);
}
$req = 'cmd=_notify-validate';
if(function_exists('get_magic_quotes_gpc')) {
   $get_magic_quotes_exists = true;
} 
foreach ($myPost as $key => $value) {        
   if($get_magic_quotes_exists == true && get_magic_quotes_gpc() == 1) { 
        $value = urlencode(stripslashes($value)); 
   } else {
        $value = urlencode($value);
   }
   $req .= "&$key=$value";
}

$ch = curl_init('https://www.sandbox.paypal.com/cgi-bin/webscr');
curl_setopt($ch, CURLOPT_HTTP_VERSION, CURL_HTTP_VERSION_1_1);
curl_setopt($ch, CURLOPT_POST, 1);
curl_setopt($ch, CURLOPT_RETURNTRANSFER,1);
curl_setopt($ch, CURLOPT_POSTFIELDS, $req);
curl_setopt($ch, CURLOPT_SSL_VERIFYPEER, 1);
curl_setopt($ch, CURLOPT_SSL_VERIFYHOST, 2);
curl_setopt($ch, CURLOPT_FORBID_REUSE, 1);
curl_setopt($ch, CURLOPT_HTTPHEADER, array('Connection: Close'));

// In wamp like environments that do not come bundled with root authority certificates,
// please download 'cacert.pem' from "http://curl.haxx.se/docs/caextract.html" and set the directory path 
// of the certificate as shown below.
// curl_setopt($ch, CURLOPT_CAINFO, dirname( __FILE__ ) . '/cacert.pem');
if( !($res = curl_exec($ch)) ) {
    // error_log("Got " . curl_error($ch) . " when processing IPN data");
    curl_close($ch);
    exit;
}
curl_close($ch); 

// STEP 3: Inspect IPN validation result and act accordingly
include("gestion/pont.php");
$email_account = "sell_1353771010_biz@yahoo.fr";
if (strcmp ($res, "VERIFIED") == 0) {
    $item_name = $_POST'item_name'];
    $item_number = $_POST'quantity'];
    $payment_status = $_POST'payment_status'];
    $payment_amount = $_POST'amount'];
    $payment_currency = $_POST'mc_currency'];
    $txn_id = $_POST'txn_id'];
    $receiver_email = $_POST'receiver_email'];
    $payer_email = $_POST'payer_email'];
    $custom = $_POST'custom'];

        if ( $payment_status == "Completed") {

               if ( $email_account == $receiver_email) {
                    file_put_contents('log.txt', print_r($_POST,true)); 

                    $requete="SELECT * FROM album WHERE nom_album=$item_name AND prix_album=$payment_amount";
                    $exe=mysql_query($requete);                 
                    $nb_art=mysql_num_rows($exe);                   

                        if($nb_art != $item_name){                          

                            $paymentok="attente";
                            $data= serialize($_POST);
                            $date_aujourdhui=date("Y-m-d");                 

                            $sql="UPDATE commande SET 
                            datepaiement='$date_aujourdhui',
                            statutcmd='$paymentok',
                            data='$data'
                            WHERE idcmd=$custom";
                            $exe=mysql_query($sql) or die (mysql_error());          
                            file_put_contents('log.txt', 'Le paiement ne correspond à aucun album de la boutique');             

                            }else{                      

                                $paymentok="valide";
                                $data= serialize($_POST);
                                $date_aujourdhui=date("Y-m-d");                 

                                $sql="UPDATE commande SET 
                                datepaiement='$date_aujourdhui',
                                statutcmd='$paymentok',
                                data='$data'
                                WHERE idcmd=$custom";
                                $exe=mysql_query($sql) or die (mysql_error());
                                file_put_contents('log.txt', 'Le paiement à bien été confirmé');            

                            }   

               }else{

                    file_put_contents('log1.txt', 'probleme de l\'adresse email marchand'); 

                   }

        }

} else if (strcmp ($res, "INVALID") == 0) {
    // log for manual investigation
}
?>

Voilà j'aimerais compter le nombre d'article que le client à prix et comparé avec mon SELECT si c'est different du prix 'ERREUR' sinon le paiement c'est bien déroulé.

Merci d'avance à ceux et celle qui se pencheront sur mon problème.