Ajax请求、数据库和安全性

这篇文章更像是一个question，而不是一个真正的issue。所以在很长一段时间里，当我需要显示database的项目列表时，我就直接在HTML中显示Id(表中的primary key)，例如:

<div id="1"></div>
<div id="2"></div>
<div id="3"></div>
<div id="4"></div>

所以像这样，当我想做当前clicked项目的Ajax请求时，这很容易，因为我只需要从html中检索attribute，就像这样:

$.ajax({
    url: '/api/Item/'+$(this).attr('id'),
    type: 'GET',
})
.done(function() {
    console.log("success");
})
.fail(function() {
    console.log("error");
})
.always(function() {
    console.log("complete");
});

那只是在浏览了很多网站之后，我注意到没有人直接在HTML中显示primary key (Id)。但不知何故，他们仍然可以使用点击的item的Id向API执行ajax请求。所以我的问题是:我怎么能得到当前点击Id做我的ajax请求，而不显示任何地方。我是说这些网站是怎么做到的?也许他们从server中得到list，然后在client中使用?但这仍然不能解释他们是如何让current点击Id的。

感谢您的意见和建议。

网站示例:https://www.toneden.io/聊天在右下角连接时，见network和web浏览器console。