Делаю фронт на vue, предпочитаю хранить все endpoint'ы в одном файле api.js, где инициализирую axios с нужными параметрами, а в компонентах просто импортирую нужные методы и обращаюсь к ним.
Но если злоумышленник скачает код, то сможет без проблем найти все используемые endpoint'ы, тупо по ключевым словам "get", "post" и т.д.
Наверняка тут помогут вебпак чанки (или нет?). Как разбить этот файл и что прописать в конфиг, чтобы грузились только публичные endpoint'ы?
В основном бандле (ну или манифесте) всё равно будут зашиты пути к чанкам, чтобы клиент знал, откуда их ему качать, когда понадобится. "Злоумышленник" точно так же может их найти.
Проблему надо решать с другой стороны: взаимодействие с непубличными эндпойнтами должно быть закрыто авторизацией или какими-то ключами доступа.
