inviare session_id() via form

[aquatimer2000]

...
Questo token poi lo metti dentro un hidden field con nome "token" nel tuo form, così da inviarlo insieme agli altri dati.
..

forse dico una sciocchezza, ma nel momento in cui metto il token in input hidden, dal sorgente è comunque leggibile.. a quel punto che senso avrebbe ?!