Hogyan lehet post-ba (php) úgy továbbküldeni szöveget, hogy a felhasználó ne lássa, hogy mit küldök?

Ha valami kijut a szerverről, azt láthatják és módosíthatják.

Session-ös munkamenet kezelés nem elegendő?

Lehet hülye kérdés, de minek ide cookie, meg kód? A jelszót ellenőrzöd a szerveren -> ha jó megjeleníti az oldalt, ha nem jó, akkor login formot köpi újra.

Ha meg mindenképp kódot akarsz generálni, akkor session-ben tárold szerintem. A PHP következő futáskor is tudni fogja a kódot, a kliensig meg nem is jut el.

Már pedig a session a megoldás.

Szóval hajrá!