@david さんのスコープ設定に関する作業に関連するアイデアとして、単一の RSS フィードに厳密にスコープされたユーザー API キーを作成する方法があります。これにより攻撃対象領域を最小限に抑えられます。また、そのような超狭いスコープのユーザー API キーの場合は、ヘッダーなしでも認証を許可できます（user_api_key に「このキーは GET による認証に使用可能」というフラグを追加するカラムを設けるなど）。
ここで課題となる点は以下の通りです：
-
ユーザーがユーザー API キーを生成する仕組みが存在しません。RSS のユースケース向けに何らかの仕組みを構築する必要があり、新しい UX が伴います。どこに追加すべきか（ユーザープロフィールなど）も現時点では不明です。
-
特定の RSS フィードにのみスコープを限定する仕組みが存在せず、これを追加する必要があります。
-
URL の GET パラメータ経由で「許可されたユーザー API キー」を示すフラグが存在せず、これが必要となります。
全体として、これは解決可能な課題だと考えていますが、完璧に動作させるにはおそらく 1〜2 週間程度の作業が必要になるでしょう。
メリットとしては、RSS に関係なく行いたい作業の一部が含まれている点ですが、デメリットとしては、作業の一部が RSS と非常に密結合しており、現在この機能を利用しているユーザーがほとんどいない点です。
優先順位については @codinghorror にお任せします。