Как запретить доступ юзеру к ajax?
Никак
При клике запрос делается браузером пользователя и значит скрыть ничего не получится
И скрывать эти данные не имеет смысла. Если не хотите чтобы пользователь видел какие-то данные - не отдавайте ему их никогда.
Запретить нельзя, но можно зашифровать скрипт в base64 и тогда совсем не очевидно будет, что там в скрипте что-то важное и это надо расшифровывать. Кончено, всегда можно посмотреть запросы во вкладке Network консоли браузера, но это не все умеют и не многие догадаются, рядовой юзер так точно ничего не поймёт.