сабмит форм при отключенном js
cleanUp
при авторизации генерируем токен, в заголовках всех ajax запросов будем его отправлять
handler'ы будут работать только если токен из заголовка совпадает с токеном пользователя
добавлять токен во все заголовки ajax запросов
+ htmlspecialchars