Общие вопросы

>>>>> можно ли их изменить (напр., через строку броузера) ?
>>>>
>>>> о каких "свойствах" идет речь?
>>>
>>> Речь о value, readonly и disabled
>>
>> к сожалению - нельзя.
>
> нельзя изменить или запретить?

соррри, ошибся - нельзя запретить.

>> если очень нужно, чтобы их не меняли - не учитывай их при посте формы ;-)
>
> Вся фишка в том, что я планировал в hidden хранить привилегии юзера на изменение, это фатально - если гость захочет стать рутом... и станет из-за моего дырявого JS!!!

Так практически никто не делает. Это супер несекьюрно!
человек залогинился - делаеш для него либо сессию (http- или, по-моему в PHP тоже есть что-то подобное), либо записываеш ему в сессионую куку случайное число и каждый раз и на каждой странице проверяеш кука совпадает с записью или нет. Если нет, т.е. такой человек не логинился - выдаеш ему форму логина.

Все, что связано с прав и подобных нельзя выносить в HTML!