回答編集履歴

  前述したとおりJS制御には限界があります。

  phpとかサーバ側で、ページZをユニークなURLにするのがいいのではないでしょうか。

  正しい経路でページZを閲覧する場合のみトークンを発行し、そのトークンをサーバ側で受け取れた場合のみページを表示させるという仕組みを作るイメージです。