Как безопасно передать переменную от JS к PHP чтобы ее нельзя было подменить?
Если в коде фронтенда присутствуют "секретные" данные, значит где-то в момент проектирования приложения нехилый косяк. Это значит от js НЕ ДОЛЖНО приходить данных, непроверяемых через бэкенд. 

Малопонятно что вы пытаетесь сделать, но вы точно делаете это неправильно.
Героически борешься против csrf? Можно погуглить эти буквы. Или пояндексить.