Способ 2. наверное самый действенный: посылать заголовки через HTTPXMLRequest.setRequestHeader(), тут уже явно с помощью браузера не откроешь, получается что либо из-под яваскрипта HTTPXMLRequestом либо только уж курлом, что уже не так просто даже для продвинутых пэхапэшников