Я не уверен, о чем ты беспокоишься. С того места, где я сижу, я вижу три вещи, с которыми может быть связан ваш вопрос:
Во-первых, вы можете помешать неавторизованным пользователям сделать правильный запрос. Это решается с помощью куки-файла браузера для хранения идентификатора сеанса. Идентификатор сеанса должен быть привязан к пользователю, обновляться каждый раз, когда пользователь проходит процесс входа в систему, и должен иметь таймаут неактивности. Любой запрос приходит без действительного идентификатора сеанса, который вы просто отклоняете.
Во-вторых, вы можете запретить третьей стороне повторные атаки на ваш сайт (то есть прослушивание трафика невинного пользователя с последующей пересылкой тех же вызовов). Простое решение - перейти через https для этого. Уровень SSL не позволит кому-либо воспроизвести любую часть трафика. Это требует больших затрат со стороны сервера, поэтому вы должны быть уверены, что действительно не можете пойти на такой риск.
В-третьих, вы можете запретить кому-либо использовать ваш API (в конце концов, так называются AJAX) для внедрения своего собственного клиента на ваш сайт. Для этого очень мало что можно сделать. Вы всегда можете найти подходящего User-Agent, но его легко подделать, и, вероятно, это будет первое, что кто-то попытается использовать в вашем API. Вы всегда можете реализовать некоторую статистику, например, посмотреть на среднее количество запросов AJAX в минуту для каждого пользователя и посмотреть, не превышает ли какой-либо пользователь ваш средний показатель. Это сложно реализовать, и это полезно только в том случае, если вы пытаетесь предотвратить автоматическое реагирование клиентов, чем это может сделать человек.