To už je jedno, jestli ten request vyvolá přímo browser nebo až potom JS. Hlavní je ta kontrola na backendu.