Может ли злоумышленник что либо написать в input hidden?
У меня на сайте есть js скрипт, который выполняет некоторые расчеты, и, потом, выводит их в input hidden. Далее эти данные из input hidden передаются в php и затем в бд. ОМГ!!!!! Лучше сразу делайте поле: "вписать цену" и кнопку "купить".
Любые важные расчёты - должны выполняться на серверной стороне.
Если что-то считаете - делайте это опционом по id-шникам, а уже на сервере - берите значения по этим ID-шникам и выполняйте любые математические операции с ними.
Можно и даже можно подменить запрос полностью.