Как узнать, что ajax-запрос точно пришёл с моего сайта, а не кто-то пытается сам его вызвать со своей машины?
Сross Site Request ForgeryCross-Site Request Forgery (CSRF) in RoRhttps://samuelmullen.com/articles/csrf-protection-...CSRF-уязвимости все еще актуальны
Гарантированно - никак. С помощью того же cURL можно полностью имитировать работу браузера с вашим сайтом.