Comece alterando $_GET['id'] por $_GET['codigo']. O trecho: if (!empty($id_cliente) && is_numeric($id_cliente)): não condiz com o comentário. Use filter_input ao invés de pergar o valor via $_GET direto.
Sim, você pode testar com os tipos date ou datetime. Ou pode converter desta forma também: CONVERT(DATETIME, CONVERT(VARCHAR (10), '13/05/2017', 103)).
Tens razão, pela URL ficará acessível. Tente então restringir por $_SERVER['REMOTE_HOST'] ou $_SERVER['REMOTE_ADDR'] já que apenas 2 hosts que terão acesso.
Se você postar a estrutura da tabela e informa qual é o campo do referido código, fica mais fácil da galera ajudar! Para verificar se o código existe no bd, terá de fazer uma consulta!