Как на сервере проверить, что ajax запрос с нашего сервера?
Простейший вариант будет выглядеть как-то так:if(strpos($_SERVER['HTTP_REFERER'], 'http://mydomain.ru/') === false) {
    exit('Ты кто такой? Давай до свиданья!');
}
Этого достаточно чтобы "всякие там не шлялись".
Более сложные методы можно нагуглить по ключевому слову CSRF.
Строго говоря, когда пользователь загружает скрипты/страницы, то они уже не у вас на сервере, а у него в браузере. По делу: как вариант, можно прикрутить авторизацию.