Странные  мысли меня посещают.
Что, если будет поле для капчи, а вместо самой картинки-капчи надпись: «код находится в глобальной переменной captcha».
Яваскрипт-программеры догадаются вбить в адресную строку 
javascript:alert(captcha), остальным тут делать нечего 
