Nenhum sistema é infalível. Ponto! O que você pode fazer é adicionar camadas sequenciais de proteção.
- Verificar como a requisição foi feita
Você mesmo já pesquisou e encontrou como fazer, mas a forma como você fez não é exatamente a mais adequada, programaticamente falando, pois você suprime um erro ao invés de lidar com ele.
Também, você assume um case específico para comparação o que não é certo haja vista existirem diversos frameworks JS que, assumindo que eles enviem esse cabeçalho automaticamente, podem, de repente, capitalizar algumas letras de forma diferente, por exemplo.
Dito isso:
function isXmlHttpRequest() {
$header = ( array_key_exists( 'HTTP_X_REQUESTED_WITH', $_SERVER ) ?
$_SERVER['HTTP_X_REQUESTED_WITH'] : '' );
return ( strcmp( $header, 'xmlhttprequest' ) == 0 );
}
if( ! isXmlHttpRequest() ) {
// Acesso negado
}
Ultimamente aqui no SOpt muito tem se falado sobre o controle das origens de uma XHR. AJAX não é crossdomain, mas pode passar a ser por causa de um servidor mal-configurado. Melhor prevenir do que remediar:
header("Access-Control-Allow-Origin: http://www.domain.com");
A forma mais recomendada é anexar à URL da requisição algum valor aleatório o qual você, e somente você tenha como validar.
Isso pode ser desde um hash MD5 de um uniqid() armazenado em sessão, apesar do que se estiverem MESMO interessado em violar sua aplicação sessions podem ser capturadas. Não entro em detalhes por não saber exatamente como isso é feito.
Ou então token "de verdade", que pode até mesmo vir do mesmo uniqid() mas criptografado com um algorítimo parrudo (coisas do RIJNDAEL 256 bits ou mais), armazenado num banco de dados associado ao ID do usuário, de curta duração, sendo regenerado constantemente.
SSL deveria vir em primeiro lugar, mas seja por disponibilidade aquisitiva ou complexidade de implantação, deixei-a por último. ;)