Her ne olursa olsun, kullanıcıdan aldığın her türlü inputu kontrol etmen gerekir. Formdan, urlden ya da http üzerinden fark etmez. Eğer bir veri kullanıcıdan geliyorsa; sıkı sıkıya kontrol etmekten başka çare yok.

Verilerin yanlış olması durumunda hata fırlatmak ya da betiği durdurmak konusunda çekinmeyin. Daha büyük bir sorun yaşamanızı önlemiş olursunuz.

Herşeyden önce yeniden yönlendirmeler sonrasında exit ya da die() ile betiğin çalışmasını durdurmalısın. Buna çok denk geliyorum.
Senin orada http response başlığına yönlendirme yapmasını söylemen benim istemci olarak bu başlığı geçerli sayıp uygulayacağımı garanti etmez.

Neyi demek istiyorum;

Admin panelde session kontrol edip yoksa response başlığına yönlendir diyorsun ama ben bu başlığı görmezden gelen bir istemci kullanıyorsam senin bu başlığı belirtmen hiçbir şey ifade etmez. Çıktıyı görmeye/kullanmaya devam ederim.

Menüyü viewe nasıl ve hangi formatta gönderdiğini bilmediğim için aşağıda çok basit bir mantıkla bir dizi olarak gönderdiğini varsayıyorum.

$menu = [
    [
        "href" => "https://www.google.com",
        "label" => "Google",
        "submenu" => null
    ],
    [
        "href" => "https://www.facebook.com",
        "label" => "Facebook",
        "submenu" => [
            [
                ["href" => "https://fb.com/profil", "label" => "Profil"],
                ["href" => "https://fb.com/sayfa", "label" => "Sayfa"]
            ]
        ]
    ]
];

//View
echo '<ul>';
foreach($menu as $item){
    echo '<li>';
    echo '<a href="'.$item["href"].'">'.$item["label"].'</a>';
    if(is_array($item["submenu"])){
        echo '<ul class="submenu">';
        foreach($item['submenu'] as $sub_item){
            echo '<li><a href="'.$sub_item["href"].'">'.$sub_item["label"].'</a></li>';
        }
        echo '</ul>';
    }
    echo '</li>';
}
echo '</ul>';

Oturumlarda (session) bahsediyorsan en makul çözüm oturumlar için bir timeout süresi belirlemektir. session_regenerate_id kullanılarak da bir şeyler yapılabilir. Kullanıcının sekmeler bazında kullanıcıyı izlemek mümkün ancak tarayıcıyı kapattığını tespit etmenin bir yolu yok diye biliyorum.

Kodlama işine CRT tipi bir monitörde başlayan birisi olarak amaç sadece kod yazmaksa günümüz şartlarında 24" 1080p 60hz bir monitör rahat iş görür. Ama arada oyun vs de oynuyorum dersen yüksek yenileme oranı isteyebilirsin. Ya da tasarım işlerinede giricem diyorsan renk doğruluğu vs için IPS panel tercih etmelisin.

Bilgisayarı %80-90 kod yazmak için kullanacaksan pivot monitör her zaman güzel oluyor.

Buradan net şekilde bir şey söylemek mümkün olmaz. Log incelemesi yaparak nereden sızıldığını tespit etmeye çalışabilirsiniz. Yazılımınızı gözden geçirin, dosya ve dizin okuma/yazma izinlerini doğru şekilde yapılandırdığınızdan emin olun. Varsa CPanel/Plesk vs. ve FTP bilgilerinizin güvenliğinden emin olun. Host firmanızla iletişime geçmekte sorunun kaynağını bulmakta yardımcı olabilir.

Github üzerinde şöyle bir script buldum ancak ne seviyede çalıştığını bilmiyorum. https://github.com/teknomavi/Kargo

Sürat kargonun api geliştirmek için sunduğu dökümanları bulamadım internette.