¿Cómo puedo evitar que se burlen del sistema al agregar un control reforzado usando PHP, donde un usuario no puede pasar del paso 1 al paso 3 o al paso 6, sino que debe continuar el orden de los pasos 1, 2, 3, 4, 5, 6 y así sucesivamente.
No importan los pasos, ni el orden de los pasos, ni nada de lo que sucede del lado cliente. No se puede confiar en lo que sucede en el browser/navegador. Si vas a trabajar de web developer debes entender que no se puede confiar en lo que sucede en el cliente web. Por lo tanto, la unica forma de solucionar este problema de "desconfianza" es: Validar nuevamente todos los datos cuando se reciben en el servidor. Osea, validar todos los datos al mismo tiempo (los recuperados en los 6 pasos) luego de terminado el wizard y antes de aceptar la operacion y de guardar los datos en la base.
Escencialmente esto es una caracteristica de la arquitectura Cliente-Servidor.
No importa si estas trabajando en PHP, en C# o en Node.js.
Las validaciones del lado del cliente son para hacer que la interface se "amigable" con el usuario y deben estar enfocadas en el usuario. Son escenciales para la llamada "experiencia de usuario" y no hay mucho para hacer con los usuarios maliciosos, en ultima instancia ellos pueden atacar tu sistema sin usar la interface web, usando una herramienta tipo PostMan invocando los scripts PHP directamente.
Por el contrario, las validaciones del lado del servidor son para controlar que los datos esten completos y sean validos. Esto incluye todas las validaciones que vos como arquitecto decidas que son necesarias. Ej, validar el formato del campo "email" o no.
¿Cómo puedo validar los campos del formulario wizard con PHP en conjunto de las validaciones ya existentes con Javascript?
Repito, son validaciones diferentes con propositos diferentes, ademas son aplicaciones diferentes. No hay bases para reutilizar codigo aqui.