jsのｺｰﾄﾞが相手側に知られている時点で完全な防御方法はないと思いますが､一つ目の方法はｺﾒﾝﾄに書かれているように､問い合わせ時に何らかのﾊﾟｽｺｰﾄﾞを送る方法です｡

PHPが受け取ったﾘｸｴｽﾄﾃﾞｰﾀの中に定められた文字列があるかどうか見定めて､それによってﾃﾞｰﾀの送信処理を行います｡

ただこの方法は､js以外のｱｸｾｽができないことに疑問を持った人がjsのｺｰﾄﾞを解析すればわかります｡

ｺｰﾄﾞを難読化させるという手もありますが､あまり現実的ではないでしょう｡

2つ目の方法はjsを動的に生成することです｡

htmlに書かれたjsが読み込まれようとしたら､その時点でPHPで時刻を何らかの暗号化関数に通したﾊﾟｽｺｰﾄﾞを発行し､javascriptに書き込みます｡

1つ目の方法と同じく

javascriptからｱｸｾｽがあった場合はﾊﾟｽｺｰﾄﾞを復号化し､jsが読み込まれた時間を解析｡

それによって､ajaxによるｱｸｾｽ可能時間を読み込まれてから30秒､5分､10分などと自由に変更すればいいでしょう｡

ｱｸｾｽ時にcookieに情報を書き込み､ajaxで取得する際にcookieを利用して判定するという手もあります｡
http://www.itmedia.co.jp/enterprise/articles/0608/10/news019_3.html