Ein Bot könnte genauso gut eine Session starten.
Liese sich eventuell mit einer htaccess was anstellen?
Ansonsten wäre noch eine Möglichkeit: Schreib Dir eine Klasse, die die gängigsten Bots erkennt und schreib dann in den PHP-Ajax-Dateien quasi sowas:
Code:
include('botrecognize.php');
if (isbot()) {
die('No direct
access for bots');
}
Übrigens: Du erkennst ja schon, ob JavaScript aktiviert ist und setzt je nach dem einen anderen Link da hin. Setze doch direkt da die Bot-Erkennungsfunktion ein: Wenn es ein Bot ist, mach aus dem Link einfach nur ein "#".