Wie bekomme ich also den Link in die db und zwar in einer Weise, die der User nicht imitieren kann?

Gar nicht. Du kannst zwar versuchen, den Inhalt eines Formulars oder von Sonswas zu verschlüsseln und auf der Gegenseite entschlüsseln. Aber das hindert einen User nicht daran, deiner Verschlüsselung einen manipulierten Inhalt zu übergeben.

Konzentriere dich eher auf die Frage, was ein ungültiger Request auf deinem Server anrichten kann und behebe das Problem dort.

So langsam glaube ich, die Tatsachen beginnen dir deinen Spass zu verderben.

mfg Beat