С точки зрения сервера, ajax-запрос не очень отличается от обычного запроса GET / POST - только несколько дополнительных заголовков добавляются в запрос. Он проходит через вашу обычную процедуру аутентификации, так же, как и любой другой запрос - если это не так, вам следует гораздо больше беспокоиться об общей безопасности вашего приложения, поскольку запросы могут быть очень легко подделаны людьми, которые знают, что они делают .
Вы можете легко настроить тест, чтобы увидеть, успешно ли ресурс, требующий аутентификации, блокирует неавторизованные запросы, поступающие в Ajax. Это должно успокоить ваш разум.