Non sono un esperto di sicurezza, solo uno sviluppatore di app, ma tutte le modifiche persistenti possono essere effettuate solo sul server. Ciò che avviene nel browser in EmberJS è a vantaggio dell’utente per migliorare l’esperienza d’uso, ad esempio la memorizzazione nella cache per la velocità o il comportamento automatico dell’interfaccia simile a un’app. Questo non cambia il fatto che, in definitiva, ogni modifica persistente deve essere negoziata con il server Rails e, nel farlo, si avrà il permesso di farlo solo per l’utente loggato.
Lo stesso vale per il recupero di tutti i dati: il server Rails invierà solo i dati a cui l’utente loggato ha accesso.
Non penso che tu debba preoccuparti di questo, perché se qualcuno tentasse di aggirare queste misure, si fermerebbe al primo ostacolo: non c’è modo di ingannare l’API.
Qual è la tua preoccupazione?