Chiaramente era scontato che il cliente non sappia nulla.
Sta di fatto che se vuoi puoi crearti una variabile dalla tua pagina.
Se l'altra pagina non la riceve, non esegue il codice.
Rimane sempre il fatto che con un pò di conoscenza si può raggirare.
Non saprei che altro dirti.
Magari trova una parte di codice che solo tu puoi avere ma che non tratti variabili, sessioni, cookie o altro.
In teoria potresti mettere sul tuo sito un file che passa solo costanti e funzioni, così se lo modifichi non ci avrà più delle funzioni importanti.
Fai un bell'incude nella pagina del cliente ed è fatta.