checking XHR for XHR requests

HTTP-запросы, которые исполняются через Javascript (XHR) -- должны быть ограничены возможностью работы только для Javascript (XHR).

иначе, при определённых обстоятельствах это может привести к эксплуатации через CSRF-атаку, так как авторизация работает через куки.