è da folli usare un campo nascosto anche perchè è facilmente alterabile il valore.

considera comunque che http_referer non è del tutto attendibile, visto che dipende dal client, e pertanto è un valore che può essere manomesso.