Если бы кто-то когда-либо захотел манипулировать этим кодом (например, злонамеренный пользователь), он бы переписал функцию is_allowed со своим собственным кодом.

Он может переписать весь ваш код javascript или даже не использовать браузер, а имитировать запрос «без браузера» на ваш сервер.

Есть ли ЛЮБОЙ способ, чтобы он работал в старых браузерах (а именно IE6-8) без особых хлопот?

Нет. Все, что вы глобально выставляете, может быть изменено пользователем, это зависит от браузеров, ограничивающих поведение javascript:, чтобы пользователи не были обмануты для доступа к предварительно созданным ссылкам. Недавно Firefox внес некоторые изменения в протокол URL-адресов javascript.

Как сказано в этой статье: http://survey-remover.com/blog/javascript-protocol-dangers/

Начиная с Chrome v13, Firefox v6 и IE 9, разработчики браузеров обратили внимание на опасность протокола «javascript:» и впоследствии запретили код... В случае Chrome и IE подстрока «javascript:» удаляется при вставке кода, тогда как Firefox больше не выполняет скрипт в рамках активной страницы.

So...

Если это невозможно, то я просто пожму плечами и пойду дальше.

Вам следует.

Предложение

Не скажу, что я эксперт в этих вещах. Но предполагая, что вы можете полностью обернуть свой код и использовать события для запуска поведения, вы можете использовать такую ​​структуру:

Closed = function(args) { return (function() {
  "use strict";

  var secret, init, get_secret, use_secret;

  init = function(something){
    secret = something;
  };

  get_secret = function() {
    return secret;
  };

  use_secret = function () {
    console.log(secret);
  };

  /* Run constructor */
  init(args);

  /* Publish API */
  return { use_secret:use_secret };

}())};

Настроив его с помощью obj = Closed("Anything");, вы все равно можете позволить злоумышленнику перезаписать метод use_secret(), поскольку он открыт, но метод get_secret() и любые другие внутренние компоненты защищены.

Если ваш метод инициализации объявляет несколько привязок событий к приложению, вы можете таким образом сохранить свое состояние закрытым. События смогут запускать внутренние методы, поскольку они связаны внутри внутреннего замыкания, но внешний код их не увидит.

Бронирование

Хотя это может решить вашу проблему, я не уверен на 100%, что это так, в любом случае этому нельзя доверять. Любой пользователь, который хочет проникнуть в ваше приложение, может, если безопасность на стороне клиента. В любом случае ничто не мешает им создать свой собственный объект, чтобы заменить ваш постфактум, ES5 или не ES5.

Для всего, что действительно должно быть безопасным, вам придется повторно проверять на стороне сервера. Никогда не доверяйте коду на стороне клиента, чтобы защитить вас, запрос может исходить даже не с той страницы, которую вы обслуживали...

Что, если is_allowed будет полностью локальным?

(function(window){
   var options = {}, is_allowed;

   var instance = (function(options){
     for (var i in options) {
     if (options.hasOwnProperty(i)) {
        this[i] = options[i];
       }
     }
     return this;
   })(options);

   instance.callbacks = function(cb){
       /* ... */
   };

   function check_allowed(){
     /* check and let this function set [is_allowed] */
   };

  window.instance = check_allowed()
                     ? instance
                     : { callbacks: function(){(alert('not allowed'));}  };

} (this) );

Макет jsBin

Кстати: в вашем коде window.instance будет undefined.