如何保护PHP API免受未经授权的AJAX调用（Phonegap移动应用程序）？

Question

我想制作Phonegap应用程序，我将使用PHP API和AJAX调用来进行通信。

问题是安全性 - 当我对我的PHP API进行AJAX调用时 - 任何能够读取js文件并且可以轻松操作数据的人都可以看到该地址。 我想到了两件可能有用的东西，但仍然不是我想要的东西。

1. 由PHP API生成的CSRF令牌 - 是的，但是为了在应用程序中获取令牌，我仍然需要向API发出请求，该请求再次可见并且可以复制/操作。
2. 对js文件进行处理，这对生产有好处，但它并没有带来我想要的真正安全性。

所以问题是 - 如何保护我的PHP API免受未经授权的AJAX调用，并且只允许来自我的应用程序的调用？