確認画面でパスワードなどをhiddenにしておくのがだめって
HTMLソースで見られるか、外部打ちでデータ書き換えできるからってことだろ？
そんなことするやつなんておらんだろ。
仮にいたとしてもパスワードをcryptで暗号化しておけば見られても平気だし
リファラ調べて外部打ち禁止にすればいいだけだからな