Na função extract(), tem como criar uma barreira/bloqueio para que pessoas mal intencionadas não modifiquem alguma coisa dentro do código, ou não passem parâmetros que comprometam a integridade do código?

Olá, Guilherme!

Não vou entrar em muitos detalhes, para não te confundir, mas existem funções próprias para a filtragem de dados obtidos através da URL.

Uma maneira prática de filtrar os dados seria através da função filter_input().

Em vez de usar a função extract() e acabar correndo o risco de ter seu código modificado, você especifica exatamente quais parâmetros deseja obter, através da função filter_input().

Vou te dar um breve exemplo:

$id = filter_input(
    INPUT_GET, // Especifica que você vai obter o parâmetro através de uma requisição GET
    'id', // O nome do parâmetro passado na URL será 'id'
    FILTER_VALIDATE_INT // Esse filtro valida o inteiro passado como valor do parâmetro
);

Te dei esse exemplo só para não te deixar na dúvida, mas existe todo um contexto de uso que é importante você entender para usar esse método, portanto, você deve prosseguir com os cursos de PHP aqui da Alura, para aprender quando e como aplicar esses conceitos.

Espero ter ajudado!

Boa sorte em seus estudos!