Похоже, что скрытое значение, которое вы описываете, чаще всего называют одноразовым значением, которое (когда речь идет о веб-формах) - это значение, используемое для проверки того, что форма отправляется только один раз и тем же сеанс, который запросил форму. См. Эти примечания по предотвращению подделки межсайтовых запросов .
Во-первых, как вы отправляете запросы без <form>? Пользователь просто щелкает ссылку? Если это так, вы можете добавить одноразовый номер в строку запроса, но если вы используете GET-запросы для чего-то разрушительного, что на самом деле требует проверки одноразового номера, вы делаете это неправильно. Эти типы запросов должны выполняться только через POST, что подразумевает генерацию <form method="post">.
Во-вторых, нет, вы не можете использовать <input type="hidden" /> вне формы. Данная форма представляет только свои собственные значения, то есть элементы между <form> и </form>.
Если вы хотите, чтобы ваше скрытое значение было включено в отправляемые данные, вы должны включить скрытый ввод в отправляемую форму. Если, как вы говорите, вы не можете включить необходимые теги <form> в файлы JSP, вы можете динамически выполнить запрос через Javascript, но это вводит зависимость от Javascript, которую следует избегать из-за чего-то такого простого и фундаментального.