¿Diferencia entre CSRF con flash y XHR?

Cuando un sitio web utiliza el encabezado X-Requested-With en la solicitud, ¿por qué impide el CSRF?

Podemos explotarlo, pero solo con el csrf con un archivo flash y una redirección? ¿Por qué? ¿Hay alguna forma de explotarlo? ¿Te gusta CSRF con XHR simple? Algo como esto ...

req2 = new xmlHttpRequest();
    req2.open ("POST", "https://xxx.com/_/api/1.0/account/subscribe.json" false);
    req2.setRequestHeader("content-type", "application/x-www-form-urlencoded; "charset=UTF-8");
    req2.setRequestHeader("X-Requested-with", "XmlHttpRequest");
    req2.send