Поместите CSRF в заголовки весной 4.0.3 + Spring Security 3.2.3 + Thymeleaf 2.1.2

Ajax вызывает данные так же, как и мы, читает их как строку. Это в основном доступ к другой веб-странице и «получение» результата. «Возврат» PHP возвращает значение только на сервере. Вам нужно фактически выводить данные, чтобы при вызове Ajax на странице, на которую он смотрит, действительно записаны данные.