nel form dal quale lanci la pagina, usa method='post' al posto di GET, e le variabili le recuperi con POST.

In questo modo nell'url non si vede nulla.