Hola:
Los visitantes pueden ser de lo más variopintos, así que no debería extrañarte que alguno "se pasase de listo"
, así que no estaría de más que fueses previsor... tal vez puedes deshabilitar el botón en la misma llamada ajax, y volverlo a habilitar al recibir la respuesta:
Código:
onclick="llamada_ajax(); this.disabled = true"
Saludos
