Защита файла
 

Когда есть файлы инклуда, то их желательно защитит от прямого вызова константой, например. Но как защитить файл который вызывается функцией $.ajax? Он же не включается в индексный файл.

можно аналогично, но вместо константы генерировать случайное значение, сохранять его в сессии, передавать методом get и сравнивать.

не страдайте паранойей. если файл можно открыть с помощью аякса, то с помощью других средств подавно.
придётся либо всё в куче инклюдить, с константами, либо писать маленький API для аякса.