Anonym, тогда каждому запросу надо присваивать уникальный номер и дважды его не отрабатывать.
Клиент говорит Серверу я хочу удалить данные, Сервер сохраняет запрос и отправляем Клиент ID запроса. Клиент пересылает это ID Серверу. Сервер удаляем данные и записывает ID. Если злоумышленник передает этот запрос еще раз, то Сервер проверив этот ID ничего не сделает т.к. уже выполнил этот запрос.
Как-то так… других вариантов пока не вижу.