Владислав

можно еще стилями используя css content

get json надо использовать
второе данные в php по разному отображаются каждый раз,причина неизвестна

пользователь может из браузера (на стороне клиента) выполнить все что угодно касательно аякс запросов,но ответ с вашего сервера он подделать не может,зато на клиенте все ,что угодно может.
чтобы что то посоветовать по защите ,нужно знать больше данных,но факт в том что все что хранится на клиенте =не надежным данным,на которые можно полагаться лишь коственно

$('.block').children().click(function (e) {
$(this).parent().find('.block-click').addClass('open');
});

https://jsfiddle.net/4fpbc4at/4/

https://sovban.ru попробуйте это .вроде дешево и все блокирует