я не могу колбу
Но вы можете различить клиента по IP-адресу клиента и UA или другим формам и сохранить соответствующую информацию о клиенте.
Другой способ - вернуть токен как клиент, и каждый последующий запрос клиента должен содержать (через get или post) токен.
Но эти два метода не совсем надежны.