Um Werte bei Requests weiterzureichen, eignen sich sog. "hidden-Fields": <input type="hidden">. Diese werden wie "normale" Formular-Elemente verschickt, obwohl sie für den User verborgen bleiben.
Leider können Hacker sie im Quell-Code trotzdem beobachten.