Как обеспечить аутентификацию пользователей при REST-запросах?
В моем случае все было реализовано аналогично для xhr и обычных http-запросов, не вижу принципиальной разницы.
Используйте аналог MD5-CRAM (двух-тактовая аутентификация).
Уже почти все хеш-функции есть в виде JS-библиотек.

Можно использовать передачу параметров от любого домена к Вашему через HTML5.
javascript.ru/ajax/cross-origin-2