技术范围：PHP、MySQL、Apache、javascript、ajax。
CRSF
用户登录到他的安全页面。
页面使用随机令牌和随机名称。（用于输入）
<input name="random_name" value="random_token" />
Random_name 和 Random_token 存储在用户 SESSION 中。
脚本检查标头（HTTP 1.1 - 引荐来源网址）。
在我看来，这些方法无法保护我与 Ajax（页面输出）分析。
Ajax（页面输出）分析：
用户访问了错误的页面。
加载页面后，Ajax 与他的页面建立连接（使用准备好的 HTTP 引用标头）。并下载数据。
解析输出（输入）。
并在成功解析后。
使用 Random_name、Random_token 和准备好的引荐标头创建自己的请求。
安全系统接受了这个动作。（推荐人 - 好的，令牌 - 好的）
我该如何避免呢？