Как зашифровать api вызов, чтобы клиент не смог его прочитать?
А что помешает хакеру изучить метод шифрования и зашифровать свой запрос?
Всё, что присылает клиент, должно проверяться на сервере, в том числе и условия допустимости запроса.
Общайтесь с сервером по самописному бинарному протоколу завернув это все дело в websoket