custom stateやgroup に保持している値は、悪意のあるエンドユーザによって書き換えられる可能性がありますか？
そのような可能性があるのなら、その値を条件として参照しているようなworkflowが意図しないときに作動してしまうと考え、不安に思っています。
プライバシールールを設定していなければ閲覧できてしまうことは理解しているのですが、書き換えられ、それがworkflowの条件にも影響を及ぼしてしまうことはあるのでしょうか。
可能性がありますか？と言われると、ありますとなるのではないかと思います。
そもそもWebページはユーザー環境でレンダリングされているため、描画ソースじたいはいくらでも書き換えできます。
ただ、それを処理に影響するレベルで行うとなると、各値を保持している変数に書き込む必要が出てくるため一般的には困難です。
少なくとも通常のセキュリティレビューなどで見られるレベルのセキュリティ対策はされているため、情報漏えいにつながるような設定がないかを気にするだけで問題ないと思います。
「いいね！」 4