Eine Idee, die sich auf einige der Abgrenzungsarbeiten von @david bezieht, wäre, einen User-API-Schlüssel zu erstellen, der eng auf einen einzigen RSS-Feed beschränkt ist. So wäre die Angriffsfläche gering, und in solchen Fällen, in denen wir einen extrem eingeschränkten User-API-Schlüssel haben, könnten wir dessen Verwendung ohne Header erlauben (eine Spalte in user_api_key, die angibt, dass dieser Schlüssel für die Authentifizierung GET verwenden darf).
Die Herausforderungen dabei sind:
-
Wir haben keinen Mechanismus, mit dem Benutzer User-API-Schlüssel generieren können. Wir müssten etwas für den RSS-Anwendungsfall entwickeln, was eine neue UX erfordern würde. Ich bin mir nicht sicher, wo wir das einfügen würden, vielleicht im Benutzerprofil – ich weiß es nicht.
-
Wir haben keinen Mechanismus, um die Berechtigung nur auf einen bestimmten RSS-Feed einzugrenzen, den wir hinzufügen müssten.
-
Wir haben kein Flag für „erlaubter User-API-Schlüssel