Безопасный update базы через ajax

Если в скрипте нет авторизации, то полностью защитить метод не получится. Есть ряд приемов, каждый нацелен на определенный вид атаки. Самое простое - запретить выполнение скрипта через прямой запрос в браузере. Для этого нужно проверить заголовок HTTP_X_REQUESTED_WITH. Далее можно добавить csrf токены в запрос. Сами токены хранить в сессии. Приватная и публичная часть токена хранится в сессии, на странице, с которой осуществляется ajax запрос - только публичная. При обработке запроса две части надо сравнить. Это позволит защитить скрипт от выполнения ботами, которые все-таки смогли авторизоваться в системе.