「nonce」の使い方について

ボタン出力時に nonce も併せて出力し、ajax リクエスト時に data に含ませるんではダメなんでしょうか？

先にも書きましたが、私は WordPress での ajax の書き方はよく知りません。
ですので、私がサンプルを書いたとしても、ググれば出てくる、
・ボタン押下時にイベントターゲットのエレメントの -nonce 属性の値を取ってくる
・その値を ajax の data に含める
というだけのものです。
そのままでは WordPress 上で動きませんし、JavaScript と ajax の基本的な動作を理解されていれば書けるものです。

rararan998 さんがボタン押下時の処理としてどのような JavaScript を書いているのか貼って頂いたらそれに対してコメントできるかもしれません。

また、リクエストの改ざんではなく、CSRF 対策だけを考えておられるなら、ishitaka さんが言われているように ID を含める必要は無いと思います。

まず、JavaScript のソースにある MY_AJAX というオブジェクトが何か分からないことをお伝えしておきます。
また、POST している action が何に使われるものか私には分からないので無視します。

check_ajax_refererの第一引数には、wp_create_nonceの引数と同じものを渡すことはご理解されていることと思います。

なので、同じように POSTした action_name の後に POST した target_id をくっつければいいんじゃないでしょうか。

※先にも書いたように、id と nonce をセットでソースに書き出しているので、両方セットで改ざんすることが可能であり、id を含ませている意味は半減する気がします。
CSRF 的には問題ないと思いますが。

具体的にはどのようなソースになるということでしょうか？イメージが掴めず辛いです。

POST データを取得する方法は以下サイトを参照して下さい。
http://php.net/manual/ja/reserved.variables.post.php
文字列をくっつける方法はご存知と思います。

そしたら改ざんを防ぐにはどのように出力すればよいのでしょうか？

ID と nonce を両方ソースに出力する原理上、WordPress の nonce ではソースに出力されている ID についてはリクエスト中の nonce を書き換え可能なことを回避することはできません。
難読化したりすることは出来るでしょうが。

少なくとも、nonce を nonce という名前で出したり、ボタンの属性として出力してセットだと分かりやすくするのはやめたらいいと思います。

@rararan998 さんのコードで、button 毎に nonce を振ることがどうなのかは、とりあえず置いておくとして、@rararan998 さんのコードで、button 毎に nonce を振ってみました。

<button type="button" data-action_name="allow" data-target_id="1" data-nonce="<?php echo wp_create_nonce( 'my_ajax_action_1_allow' ); ?>">このIDを許可</button>
<button type="button" data-action_name="add" data-target_id="1" data-nonce="<?php echo wp_create_nonce( 'my_ajax_action_1_add' ); ?>">このIDを許可</button>

functions.php:

function my_enqueue_scripts_ajax() {

	（省略）

	$action= 'my_ajax_action';
	wp_localize_script( $handle, 'my_ajax', [
		'api'    => admin_url( 'admin-ajax.php' ),
		'action' => $action,
	//	'nonce'  => wp_create_nonce( $action ),
	]);
	wp_enqueue_script( $handle );
}
add_action( 'wp_enqueue_scripts', 'my_enqueue_scripts_ajax' );

add_action( 'wp_ajax_my_ajax_action', 'my_ajax_event' );
add_action( 'wp_ajax_nopriv_my_ajax_action', 'my_ajax_event' );
function my_ajax_event() {
	if ( ! isset( $_POST['action_name'] ) || ! isset( $_POST['target_id'] ) || ! isset( $_POST['nonce'] ) ) {
		die();
	}

	$target_id = $_POST['target_id'];
	$action_name = $_POST['action_name'];

	if ( check_ajax_referer( "my_ajax_action_{$target_id}_{$action_name}", 'nonce', false ) ) {

		（省略）

	}
	die();
}

myscript.js:

(function($) {
  $(document).on("click", "button", function(){
    var action_name = $(this).attr('data-action_name');
    var target_id = $(this).attr('data-target_id');
    var nonce = $(this).attr('data-nonce');
    $.ajax({
      url: my_ajax.api,
      type: 'POST',
      data: {
        action: my_ajax.action,
        nonce: nonce,
        action_name: action_name,
        target_id: target_id,
      }
    }).done(function(res){
    });
  });
})(jQuery);