少しだけマジレスすると入力と出力がアトミックなhiddenのほうが安全。
どこぞの権威あるサイトみたいにhiddenよりセッションのほうが安全などと言い切ると
ろくに理解も確認もしないで真似するやつが出てくるので非常に危険。
セッション変数にSQL文を入れるやつまで出てくる有様なのでいたずらされないように気をつけてね♪