è questo l'approccio.
Però poichè non ho php7 e ho già un valore disponibile e cioè il session_id() pensavo di mettere l'hash del session_id() nel campo hidden e non un altra stringa random generata all'uopo. È la stessa cosa?