На морду отдавать сгенеренную куку и некий сгенеренный параметр. Требовать от морды возврата и куки и параметра формы. А у себя хранить параметр, отданный на эту форму для этой куки и проверять что пришло с формы. Параметр и кука - абсолютно не связанные хэши. Ктт.
