Одна идея, связанная с работой @david по определению границ задачи, заключается в том, чтобы создать ключ API пользователя, строго ограниченный одной RSS-лентой. Это минимизирует поверхность атаки, и в таких случаях, когда у нас есть сверхограниченный ключ API пользователя, мы могли бы разрешить его использование без заголовков (добавив столбец в таблицу user_api_key, указывающий, что этот ключ может использоваться для аутентификации через GET).
Проблемы здесь следующие:
-
У нас нет механизма для генерации пользователями ключей API. Нам пришлось бы создать что-то специально для случая использования RSS, что потребовало бы нового UX. Не уверен, где именно это можно было бы разместить, возможно, в профиле пользователя, но я не знаю точно.
-
У нас нет механизма для ограничения доступа только к одной конкретной RSS-ленте, который нам пришлось бы реализовать.
-
У нас нет флага «разрешённый ключ API пользователя» через параметры GET в URL, который был бы необходим для этого.
В целом я считаю, что это задача, которую мы можем решить, но, вероятно, потребуется одна или две недели работы, чтобы всё заработало как надо.
Плюс в том, что часть этой работы полезна независимо от RSS, но минус в том, что некоторые задачи тесно связаны именно с RSS, а количество пользователей этой функции сейчас крайне мало.
Решение, как расставить приоритеты, остаётся за @codinghorror.