Oui il faut faire de l'ajax.
Tu peux faire un get/post, tout ce que tu veux. Pour éviter que quelqu'un bombarde ton serveur, tu dois employer les mêmes méthodes que quand l'appel n'est pas forcément fait par le javascript. Tu peux également identifier la session de l'utilisateur. (les sessions et cookies marchent exactement pareil)

Pour l'ajax: ici tu as la base: http://www.squalenet.net/fr/pc/articles/ajax-asynchronous-javascript-and-xml-premiers-pas.php5 voire tout ce qu'il faut en fait.
Ensuite, jquery et les autres frameworks permettent de faire ça plus simplement, à voir avec ta lib.