React 特定の条件でのみ表示するコンポーネントをセキュアに用意する方法

Question

前提・実現したいこと

Reactで通常は非表示、特定のユーザーにのみ表示するコンポーネントを用意したいと考えています。
このコンポーネントの内容は特定のユーザー以外には秘密にする必要があります。
以下の方法で見た目上は実現できるのですが、JavaScriptなのでソースを辿る等の手段で非表示のコンポーネントの内容をユーザーが調べられてしまうものなのでしょうか？
それともコンパイルされることで通常のJavaScriptと違って非表示の内容はソースからも除外されるのでしょうか？

（自分なりにソースを確認しても非表示部分の内容は見つかりませんが、それはただ無知なだけな気がしています…）

該当のソースコード

class Page extends React.Component {
    constructor(props){
        super(props);
        this.state = {
            isOpen: false
        };
    }

    componentDidMount() {
        axios.post('api', apiKey).then((res) => {
            //API側でユーザーを見分けて特定のユーザーのみopenFlg = trueにしています
            this.setState({ isOpen: res.openFlg });
        }).catch(function (error) {
            //エラー処理
        });
    }
    
    render(){
        return (
            <>
                <div>共通情報</div>
                {this.state.isOpen === true &&
                    <Secret />
                }
            </>  
        )
    }
}

function Secret(props) {
    return (
        <>
            <div>秘密情報</div>
        </>
    )
}

質問

1.上記コードで、isOpenがfalseであってもSecretコンポーネントの中身が確認できてしまったり、そもそもstateの内容を自由に変更してSecretコンポーネントを表示させる事ができてしまう等の問題はあるのでしょうか？

2.もし上記コードで秘密情報を守れない場合、Reactで解決する方法はあるのでしょうか？
やはりサーバーサイドでの対応が必要ですか？

Reactを学び始めたばかりで、コンポーネントやstateの仕組みを理解できていない為の初歩的な質問だとは思いますが、よろしければご教示願います。
よろしくお願いいたします。

補足情報（FW/ツールのバージョンなど）

・Reactのバージョンは16.13.1
・API部分はLaravel 6
・axiosによる通信で秘密情報を受け渡すという事は現状考えていません（秘密にしたいのは単なる値だけでなく、実際にはSecretコンポーネント内で色々な処理を実現できたらいいなと考えています）

Answer 1

1.上記コードで、isOpenがfalseであってもSecretコンポーネントの中身が確認できてしまったり、そもそもstateの内容を自由に変更してSecretコンポーネントを表示させる事ができてしまう等の問題はあるのでしょうか？

中身は全部ソースコードに書いてあるので、その気になれば調べることは可能です。

2.もし上記コードで秘密情報を守れない場合、Reactで解決する方法はあるのでしょうか？

やはりサーバーサイドでの対応が必要ですか？

「どうしても」と言われればできなくはないのですが（JavaScript自体を暗号化しておいて、ユーザーが入力した鍵で復号してから実行するなど）、汎用性や安全性を考えるとサーバレベルで対応するのが適切です。

Comments

[maisumakun]

> axiosによる通信で秘密情報を受け渡すという事は現状考えていません（秘密にしたいのは単なる値だけでなく、実際にはSecretコンポーネント内で色々な処理を実現できたらいいなと考えています）

ユーザーの状況に応じてJavaScriptファイル自体を出し分ける、ような対応が適切かもしれません。

[toppo_chocoball]

ご回答ありがとうございます。
やはりソースから調べられるのですね。

JavaScriptファイル自体を出し分けるという発想はありませんでした。
サーバーサイドでの対応方法ももっと勉強してみます。