Публичная форма: скрытый выбор родительской сущности

[tommy.felt]

Приветствую!
В продолжение топика viewtopic.php?f=2&t=3632
Настраиваю систему приёма заказов на услуги в квартиры: сантехники, электрики, etc.
Изначально была структура сущностей: Улица > Дом > Помещение > Заказ > Отзыв
После выполнения заказа необходимо собирать обратную связь от потребителя.

Рассматриваю автоматизацию на статус "Выполнено"
с генерирацией URL Публичной формы подсущности Отзыв
с подставленным id родительской сущности Заказ.

Возникает вопрос: как отключить список родительской записи в форме?
Чтобы пользователь не мог написать отзыв в чужой заказ.

Можно решить сверкой соответствия ID и PIN-кода родительской записи,
по которым производится проверка статуса в публичной форме Заказа.
Но всё равно остаётся проблема, что пользователь может посмотреть заголовки чужих заказов, что недопустимо.

Можно сущность Отзывы сделать корневой и связывать их, но хотелось бы сохранить структурную вложенность.