Debes desarrollar todas las medidas de seguridad primero en el back end.
Los serializadores de Rails determinan qué datos se envían.
El Guardian protege qué acciones están permitidas.
Todo esto es gestionado por los controladores de Rails.
No importa qué basura envíe el front end o qué solicite recuperar, porque esos elementos protegen el servidor.
Puedes reflejar esto con el comportamiento del front end, pero el front end no es el guardián.
Consulta algunos de los plugins más grandes y verás ejemplos de serializadores y el uso del Guardian.