Странные мысли меня посещают.
Что, если будет поле для капчи, а вместо самой картинки-капчи надпись: «код находится в глобальной переменной captcha».
Яваскрипт-программеры догадаются вбить в адресную строку
javascript:alert(captcha), остальным тут делать нечего
