P.S.
Chodzi mi o to, że w przypadku zwykłego formularza, możemy pozostać na
danym URLu i tylko dany URL (skrypt PHP) będzie umiał obsłużyć formularz
z tej strony. Jeśli użytkownik nie posiada uprawnień do bycia na tejże
stronie, to nie dostanie się tym samym do tego formularza i nie będzie
miał szans namieszać. Daje to jakiś poziom wiarygodności (a już w
szczególności gdy posłużymy się ukrytym polem ID transakcji zmienianym
po każdym przeładowaniu formularza).

Tymczasem funkcja JS może być wywołana na każdej podstronie serwisu więc
tak jakby "wirtualny formularz" był wszędzie opublikowany i potrafił być
na każdej stronie obsłużony więc każdy użytkownik bez żadnych uprawnień
może zmienić rekord w bazie będąc np. na stronie głównej serwisu.

--
Pozdrawiam
Marek