Как защитить запрос от изменения параметров?
Проблемы нет вообще - клиент говорит что он отвечает и на какой вопрос. Просто проверить при записи - имеет ли клиент право отвечать на данный конкретный вопрос. На этом весь web построен.
Так вы id вопроса не в форму input'ом ставьте а смотрите роутер вопроса с когда срабатывает post-запрос и роутер превращаете в id и к этому id прикрепляете ответ.