Даже простым
document.write(String.fromCharCode( --- full iframe code here --- ));
ничего не получалось. И простым unescape тоже. Но это по сути не важно, способ зашифровать линк от дурочка уже подсказали.

Судя по ответам, третьего, скрытого способа просто нет. Не очень и надеялся, конечно.

Хотя сейчас пришла в голову идея подключить ajax, он ведь может отсылась кастомные заголовки? Если да, то ответ загружать в скрытый <div> или просто не получать, если можно.

Кто в курсе ajax'a, можно ли POST запрос им отправить другому хосту ?