هنا فكرة واحدة مرتبطة ببعض أعمال تحديد النطاق التي قام بها @david، وهي أن يمكننا إنشاء مفتاح API للمستخدم يكون محددًا بدقة لخلاصة RSS واحدة، مما يقلل من مساحة الهجوم. وفي الحالات التي يكون فيها لدينا مفتاح API للمستخدم محدد بدقة فائقة، يمكننا السماح باستخدامه دون رؤوس (headers)، وذلك عبر إضافة عمود في جدول user_api_key يشير إلى أن هذا المفتاح يمكن استخدامه للمصادقة عبر طلبات GET.
التحديات هنا هي:
-
لا نملك آلية للمستخدمين لتوليد مفاتيح API الخاصة بهم، وسيتعين علينا بناء شيء ما لحالة استخدام RSS، مما يتطلب واجهة مستخدم جديدة، ولا أعرف حتى أين يمكن إضافتها، ربما في ملف المستخدم، لكنني لست متأكدًا.
-
لا نملك آلية لتحديد النطاق بدقة لتشمل خلاصة RSS واحدة فقط، وهو ما سيتعين علينا إضافته.
-
لا نملك معلمة (flag) تشير إلى “مفتاح API للمستخدم المسموح به” عبر معلمات GET في عنوان URL، وهو ما يُعد ضروريًا لهذا الغرض.
بشكل عام، أرى أن هذا شيء يمكننا حله، لكننا على الأرجح نحتاج إلى أسبوع أو أسبوعين من العمل لجعله يعمل بشكل مثالي.
الميزة الإيجابية هي أن بعض هذا العمل هو عمل نرغب في القيام به بغض النظر عن RSS، لكن العيب هو أن بعض العمل مرتبط ارتباطًا وثيقًا بـ RSS، وهناك عدد قليل جدًا من الأشخاص الذين يستخدمون هذه الميزة في الوقت الحالي.
الأمر متروك لـ @codinghorror لاختيار كيفية إعطاء الأولوية لهذا الأمر.