a ver a ver, a lo mejor tienes razón y soy muy ignorante, pero que yo sepa si mandas el form por POST y no por GET el hidden no lo pueden cambiar a menos que pudieran controlar tu código fuente.
si como dices, un hidden enviado por POST se puede cambiar entonces soy un asno y necesito estudiar mucho.
y veo que no quieres mi ayuda, ¿alguien que lo venga a ayudar?