Già.. proprio come temevo (e palesavo) quando si parlava d'altro - ovvero di come difendersi dai CSRF iniziati con link remoto...