Андрей Унгер

Отправляйте методом POST. Случайны человек уже не сможет отправить, но чуть более менее грамотный - спокойно. Так что совсем защитить - не получится

Вы уверены что в ответ получаете булево значение? Точно не текст?

Нужен JS который будет аджаксом ергать скрипт каждые несклько секунд. Либо делать через websocket или push уведомления.

Что используете в качестве клиенткой JS ? Некоторые библиотеки пытаются автоматом определить какой способ обхода кроссдоменности можно использовать. А iframe - один из "хаков" которым можно обойти кроссдоменные ограничения