cookieがいやなら、一回しか使えない鍵をhiddenで渡せばよいのでは?