я понял.
по порядку. при чем тут ajax? сейчас почти все браузеры запрещают передавать XmlXttpRequest запросы на другие домены. IE не все но и CSRF можно осуществить без ajax.
посмотрите api платежных систем. магазин только "выписывает счет" для оплаты товара платежной системе, а пользователь уже сам решает оплачивать его или нет. причем выписывает хитро - в параметрах передаетя md5 всех параметров участвующих в оплате и ключ, известный только магазину и системе оплаты. так же и при вызове callback функции, подтверждающей саму оплату.
если у вас есть мысли на тему не безопасности движка - поделитесь.
"маркер доступа" есть в админке, веских причин завязывать на нем работу магазина я не вижу.