Uma ideia aqui, relacionada a parte do trabalho de definição de escopo do @david, é que poderíamos criar uma chave de API de usuário restrita a um único feed RSS. Dessa forma, a superfície de ataque seria reduzida e, nesses casos, onde temos uma chave de API de usuário ultra restrita, poderíamos permitir seu uso sem cabeçalhos (adicionando uma coluna em user_api_key para indicar que essa chave pode usar GET para autenticação).
Os desafios aqui são:
-
Não temos um mecanismo para os usuários gerarem chaves de API de usuário; teríamos que construir algo para o caso de uso do RSS, o que envolveria uma nova UX. Não tenho certeza de onde adicionaríamos isso, talvez no perfil do usuário, não sei.
-
Não temos um mecanismo para restringir o escopo a um único feed RSS específico, o que teríamos que implementar.
-
Não temos um indicador para “chave de API de usuário permitida” via parâmetros GET na URL, o que seria necessário para isso.
No geral, vejo isso como algo que podemos resolver, mas provavelmente estamos olhando para uma ou duas semanas de trabalho para fazer tudo funcionar corretamente.
A vantagem é que parte desse trabalho é algo que queremos fazer independentemente do RSS, mas a desvantagem é que parte do trabalho está muito acoplada ao RSS e há muito poucas pessoas que usam esse recurso atualmente.
Cabe ao @codinghorror decidir como queremos priorizar isso.