Une idée liée à certains travaux de définition de périmètre de @david serait de créer une clé API utilisateur strictement limitée à un seul flux RSS. De cette façon, la surface d’attaque serait réduite. Dans des cas comme celui-ci, où nous disposons d’une clé API utilisateur ultra-restreinte, nous pourrions l’autoriser sans en-têtes (en ajoutant une colonne sur user_api_key pour indiquer que cette clé peut être utilisée pour l’authentification via GET).
Les défis à relever sont les suivants :
-
Nous n’avons pas de mécanisme permettant aux utilisateurs de générer des clés API utilisateur. Nous devrions donc en créer un pour le cas d’usage RSS, ce qui impliquerait de concevoir une nouvelle interface utilisateur. Je ne suis pas sûr de savoir où l’ajouter, peut-être dans le profil utilisateur, mais je ne sais pas.
-
Nous n’avons pas de mécanisme pour restreindre l’accès à un seul flux RSS spécifique, ce que nous devrions ajouter.
-
Nous n’avons pas de drapeau pour autoriser une « clé API utilisateur » via les paramètres GET de l’URL, ce qui serait nécessaire pour cela.
Dans l’ensemble, je considère cela comme quelque chose que nous pouvons résoudre, mais il faudra probablement une semaine ou deux de travail pour que cela fonctionne parfaitement.
L’avantage est que certaines de ces tâches sont des travaux que nous souhaitons réaliser indépendamment de RSS, mais l’inconvénient est que certaines sont très étroitement liées à RSS et que très peu de personnes utilisent cette fonctionnalité de nos jours.
À @codinghorror de décider comment nous souhaitons prioriser cela.