CAPTCHAで「12345」と出るとしよう。
hiddenに入れる値（以下、キー）に「12345」としたら何の意味もない。これは論外。

じゃあ、推測困難な計算方法で「12345」が導けるようなキーはどうだろう。
たとえば「23456」とか（これだと推測容易なんで、実際はもっと難しい計算を使うべき）。これは悪くない。

これを発展させて、crypt($salt . '12345')とかをキーにする。これも悪くない。まず破られないだろう。

ベストは、キーには「12345」とはまったく無関係の値を入れておき、キーと「12345」の関連付けはDBなどで行なう方法。
これだとDBのデータを知らないと絶対に両者を関連付けられない。

セッション・キーを発行しているなら、もうキーにできる値はあるので、新規に発行する意味もない。
キーとしてセッション・キーを使い、CAPTCHA生成時に「12345」をセッション変数としてサーバーに保存しておけばいいわけだ。