jQuery setta nell'header il campo X-Requested-With, anche quella e' una strada. Ma sia quello che il referrer sono ovviamente soggetti a spoofing.