Путаница с аутентифицированным пользователем API

[supermathie (Michael Brown)]

@BrainFried

реализация Discourse без серверной части для интеграции в мой фронтенд

@BrainFried

разве это не позволяет любому хакеру просто изменить api-username в заголовке, чтобы получить чат-обсуждения любого пользователя?

Ключ администратора API — это ключ от всего королевства.

Никогда не размещайте его в приложении для фронтенда. Если вы это сделали, рекомендуем немедленно отозвать ключ.