Podpowiedzcie mi proszę czy robię coś nie tak , czy wszystko jest ok i tak ma to działać.

Wywołuję ajaxa na plik .php który łączy się z baza danych i w ostatnich wierszu po przetworzeniu sql query używa

[PHP] pobierz, plaintext 
echo json_encode($pobrane_dane);
[PHP] pobierz, plaintext 

pobieram zawartość ajax'em i używam w JS

niepokoi mnie fakt ECHO ...
kiedy ktoś wpisze adres skryptu w przeglądarce to jako treść wywali mu niezłą zawartość bazy danych

jak zakomentuje echo to ajax nie pobiera danych z pliku php

Jak uniknąć ujawnienia danych z bazy ?

Wiadomo że jeśli ajax odpytuje jakiś adres to każdy może zrobić to samo. Jeśli chcesz zablokować dostęp to musisz wprowadzić jakiś system uprawnień i tylko odpowiednia rola będzie mogła czytać dane.
Dodatkowo poczytaj https://prophp.pl/advice/show/17/jak_przygo...dan_xhr_json%3F

A dlaczego w ogóle drukujesz całą zawartość bazy danych? Z tego co można zrozumieć to tak robisz, ale przy obsłudze odpowiedzi Ajax wykorzystujesz tylko jej drobny fragment. Dlaczego więc nie wysyłasz tylko danych, które będą potrzebne?